From 1e7a6d974f6a1634ed463763fc2eef6973321649 Mon Sep 17 00:00:00 2001 From: Hitonabi Date: Thu, 17 Sep 2026 20:52:32 +0200 Subject: [PATCH] doku: approvals bleiben aus (User-Entscheid 17.09.), sudo-Stand und Config-Schema v45 nachgezogen Live-Wahrheit statt Juli-Stand: approvals.mode 'off' / cron_mode auto (seit spaetestens KISS-Umbau 21.08., am 17.09. vom User bestaetigt), Box-sudo NOPASSWD: ALL, Hermes-Config v45 mit bewusst deaktiviertem connections-Toolset und Curator 14/30 Tage. Das alte Verdikt "cron_mode deny bleibt" ist in VERDIKTE.md als ueberholt markiert, FALLEN.md-Cron-Notiz angepasst. Co-Authored-By: Claude Opus 5 --- docs/wissen/FALLEN.md | 2 +- docs/wissen/STACK.md | 9 +++++++-- docs/wissen/VERDIKTE.md | 6 ++++-- 3 files changed, 12 insertions(+), 5 deletions(-) diff --git a/docs/wissen/FALLEN.md b/docs/wissen/FALLEN.md index 5b8850b..f8f501b 100644 --- a/docs/wissen/FALLEN.md +++ b/docs/wissen/FALLEN.md @@ -74,7 +74,7 @@ Neue Fallen: hier eintragen, mit Datum und Symptom._ - **Cron-Fallen:** kein TZ-Feld (next_run_at = System-TZ zum Anlege-Zeitpunkt; nach TZ-Wechsel `cron edit --schedule ""` zum Neuberechnen) · Prompt/Positionsargumente MÜSSEN vor die Flags · `--script` allein reicht nicht (braucht Prompt oder Skill) · - Cron-Kontext hat `HERMES_CRON_SESSION=1` und `approvals.cron_mode: deny`. + Cron-Kontext hat `HERMES_CRON_SESSION=1` (`approvals.cron_mode` ist seit dem KISS-Umbau `auto`, nicht mehr `deny`). - **Feed-Skripte: Pipe + Heredoc gleichzeitig = Heredoc gewinnt stdin** → JSON via Temp-Datei übergeben. Außerdem ehrlichen Blind-Pfad einbauen (API kaputt → „AUSGEFALLEN", nicht „0 Funde"). - **Hooks:** Consent persistiert NUR über CLI-/Gateway-Start mit `HERMES_ACCEPT_HOOKS=1`; diff --git a/docs/wissen/STACK.md b/docs/wissen/STACK.md index 9248002..c868837 100644 --- a/docs/wissen/STACK.md +++ b/docs/wissen/STACK.md @@ -73,7 +73,11 @@ Config: `/etc/llama-swap/config.yaml` (sudo zum Schreiben). - **Bot-Roster: leer** (live geprüft 27.08.2026). Hermes *kann* mehrere Bots, genutzt wird es nicht — die Profile fahren `hermes`, `fast` und `vision`. Frühere Fassungen behaupteten hier einen Roster mit `Coder`/`Qwen3-Coder-Next` und `Debugger`; beides trifft nicht zu. -- `approvals.mode: smart`, `approvals.cron_mode: deny`. +- `approvals.mode: 'off'`, `approvals.cron_mode: auto` — **User-Entscheid** (so seit spätestens dem KISS-Umbau + 21.08.2026, bestätigt 17.09.2026: „approvals bleibt off"). Lucy fragt nicht nach Freigaben; die Grenze ziehen + ufw, PC-Executor-Token und command_allowlist (siehe Security). Frühere Fassungen nannten `smart`/`deny` (Stand 03.07.). +- Config-Schema **v45** (migriert 17.09.2026): `connections`-Toolset (Nous-Konnektoren, `manage_connections`) bewusst in + `agent.disabled_toolsets`; Curator archiviert ungenutzte Skills nach 30 Tagen (`skills/.archive/`, `hermes curator restore`). - MCP-Server (aus `~/mission-control-v2/mcp/`): mission-control-stack, hermes-pc-control, hermes-web-fetch, mcp_voice. (`mission-control-memory` ist am 27.08.2026 entfallen — Hermes führt sein Gedächtnis selbst.) @@ -112,7 +116,8 @@ PC-Executor nur mit Bearer `HERMES_PC_TOKEN` (fail-closed) · ufw default deny, LAN→22/9001/8080 (+Alt-Port 7681) · Prompt-Injection-Guard `mcp/guard.py` (wrappt Web-/Bildschirm-Text) · mc2-memory lernt nicht aus untrusted Turns · command_allowlist = 5 exakt gepinnte curls (fnmatch; Shell-Operatoren hart geblockt — NIE offenes `curl *`) · -Box-sudo braucht Passwort; NOPASSWD nur für update-engine/swap (`/etc/sudoers.d/mc2-autonomie`). +Box-sudo ist **NOPASSWD: ALL** (live `sudo -n -l`, 04.09. und 17.09.2026); die alte Whitelist in +`/etc/sudoers.d/mc2-autonomie` (update-engine/swap, Dienst-Restarts, journalctl) steht daneben weiter. **Security-Config (approvals/Tokens/ufw) NIE ohne explizites User-Ja ändern.** ## Deploy & Pipeline diff --git a/docs/wissen/VERDIKTE.md b/docs/wissen/VERDIKTE.md index 2e9ed92..0e8b174 100644 --- a/docs/wissen/VERDIKTE.md +++ b/docs/wissen/VERDIKTE.md @@ -84,8 +84,10 @@ einen User-Entscheid — kein „Best Practice sagt aber…" (siehe ARBEITSWEISE - **Zed ACP / Hermes-im-Editor: NICHT machen.** Editor-Agent + Box-coder-Modell + AGENTS.md ist der Sweet Spot; Hermes dazwischen = 70-KB-Prompt-Overhead. (Zed selbst ist inzwischen vom PC entfernt — Hermes Desktop übernahm.) -- **`approvals.cron_mode: deny` bleibt** (Autonomie-Härtung 1c, User wählte Option A): - Gefahr-Befehle + execute_code sind im Cron-/Autonom-Kontext geblockt, interaktiv `smart`. +- **Approvals bleiben AUS** (`approvals.mode: 'off'`, `cron_mode: auto`; so seit spätestens dem KISS-Umbau + 21.08.2026, vom User am 17.09.2026 bestätigt). Die Schutzlinie liegt außen — ufw, PC-Executor-Token, + command_allowlist — nicht in der Freigabe-Frage. *Überholt damit:* „`approvals.cron_mode: deny` bleibt" + (Autonomie-Härtung 1c, Option A: Gefahr-Befehle + execute_code im Cron-Kontext geblockt, interaktiv `smart`). - **Fremd-Kritik via `fremdblick.sh`** (Ein-Schuss an leichtes Fremdmodell), NIE via delegate_task→heavy (64k-Floor + Lade-Tod). Raster: prose=GLM-4.7-Flash (kritiker), code=Coder-Next. Harte Regel: **REPRODUZIERT-ODER-ABGELEHNT** — Freispruch nur mit