Hermes-Update-Playbook: doctor im Job, Config-Drift-Scan + Tool-/Voice-Smoke im Postcheck, LLM-Release-Notes im Modal

- Update-Job: nach 'hermes update' laeuft 'hermes doctor' (Job rot bei Fehlern)
- hermes-postcheck.sh: Journal-Scan auf Unknown/deprecated/defaulting (Lehre aus v0.18:
  approvals.mode 'auto' wurde still ungueltig -> alle Tools in pending_approval),
  Tool-Smoke (echo via Agent, erkennt pending_approval), Voice-Smoke (/api/voice/chat)
- Update-Modal: die Box fasst anstehende Hermes-Commits selbst zusammen (fast-Modell,
  no-think, gecacht auf neuesten Hash) — Breaking Changes zuerst

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

deploy/hermes-postcheck.sh

@@ -38,6 +38,44 @@ else
   echo "FAIL · mc2-memory-Plugin lädt nicht (MemoryProvider-ABC geändert?)"; fail=1
 fi
 
+# --- Config-Drift-Wächter (Lehre aus v0.18, 02.07.2026): Hermes fällt bei unbekannten ---
+# --- Config-Werten STILL auf Defaults zurück (approvals.mode 'auto' -> manual -> alle  ---
+# --- Tools hingen in pending_approval). Solche Warnungen müssen den Job ROT machen.    ---
+if journalctl --user -u hermes-gateway --since "-3 minutes" --no-pager -o cat 2>/dev/null \
+   | grep -iE "Unknown [a-z._]+ '|deprecated .*(setting|option|config)|defaulting to|invalid config" \
+   | grep -v "check_fn" | head -5 | tee /tmp/hermes-config-warnings.txt | grep -q .; then
+  echo "FAIL · Config-Warnungen nach Update (siehe oben) — Config an neue Version anpassen!"; fail=1
+else
+  echo "PASS · keine Config-Drift-Warnungen im Gateway-Log"
+fi
+
+# --- Tool-Smoke: ein harmloser terminal-Befehl durch den echten Agenten. Fängt kaputte ---
+# --- Approval-/Tool-Ketten (Antwort muss kommen und darf nicht in pending_approval hängen). ---
+API_KEY="$(grep -E '^API_SERVER_KEY=' "$HERMES/.env" 2>/dev/null | cut -d= -f2- | tr -d '"' | tr -d "'")"
+if [ -n "$API_KEY" ]; then
+  TOOL_RESP=$(curl -sf -m 90 -X POST "http://127.0.0.1:8642/v1/chat/completions" \
+    -H "Authorization: Bearer $API_KEY" -H "Content-Type: application/json" \
+    -H "X-Hermes-Session-Id: postcheck-tool-smoke" \
+    -d '{"model":"hermes","stream":false,"messages":[{"role":"user","content":"Führe im Terminal exakt den Befehl echo postcheck-ok aus und gib mir nur dessen Ausgabe zurück."}]}' 2>/dev/null)
+  if echo "$TOOL_RESP" | grep -qi "postcheck-ok"; then
+    echo "PASS · Tool-Smoke (terminal via Agent) liefert Ergebnis"
+  elif echo "$TOOL_RESP" | grep -qi "pending_approval"; then
+    echo "FAIL · Tool-Smoke hängt in pending_approval (approvals.mode prüfen!)"; fail=1
+  else
+    echo "FAIL · Tool-Smoke ohne verwertbares Ergebnis: $(echo "$TOOL_RESP" | head -c 200)"; fail=1
+  fi
+else
+  echo "SKIP · Tool-Smoke (kein API_SERVER_KEY in $HERMES/.env gefunden)"
+fi
+
+# --- Voice-Smoke: Lucys Sprech-Pfad antwortet zügig (first byte des SSE-Streams). ---
+if curl -sf -m 30 -N -X POST "$MC_URL/api/voice/chat" -H "Content-Type: application/json" \
+     -d '{"text":"Sag nur ok.","session_id":"postcheck-voice-smoke"}' 2>/dev/null | head -c 50 | grep -q "data:"; then
+  echo "PASS · Voice-Smoke (Lucys /api/voice/chat streamt)"
+else
+  echo "FAIL · Voice-Smoke: /api/voice/chat streamt nicht"; fail=1
+fi
+
 if [ "$fail" -eq 0 ]; then
   echo "=== GEHIRN OK ✓ ==="
 else