Hermes Agent 第三方技能被拦截怎么办？

Hermes Agent 第三方 skill 被安全扫描拦截时，不要第一反应就加 --force。先用 hermes skills inspect 看来源、权限、脚本和扫描结果；只有非危险级别、你能确认原因时，才考虑强制安装。

扫描在防什么

官方 skills 文档提到，Hub 安装的技能会检查数据外传、提示注入、破坏性命令、供应链信号等风险。也就是说，它不是在“嫌麻烦”，而是在拦可能读取密钥、上传文件或执行危险命令的技能。

安全处理顺序

1. 先看技能来源：官方、可信仓库、社区仓库的信任级别不同。
2. 运行 inspect：确认 repo、详情页、安装命令、审计状态和脚本内容。
3. 看拦截等级：warn/caution 类可以人工判断，dangerous 不应绕过。
4. 只在你理解风险时使用 --force。

哪些情况不要装

• 技能要求读取整个 home 目录或密钥目录，但功能并不需要。
• 安装脚本下载未知二进制并立即执行。
• README 说法和实际脚本行为明显不一致。
• 来源仓库很新、无维护记录、无可信引用。

第三方 skill 能让 Hermes 很强，但也等于把新工具交给 Agent。正确姿势是先审计、再安装、再用低权限环境测试，确认没问题后再给真实项目使用。