Hermes Agent — Docker

Docker 与 Hermes Agent 有两种不同的交互方式：

1. 在 Docker 中运行 Hermes — Agent 本身在容器内运行（本页的主要内容）
2. Docker 作为终端后端 — Agent 在主机上运行，但将每条命令执行在一个单一的、持久化的 Docker 沙箱容器中，该容器在 Hermes 进程的整个生命周期内跨工具调用、/new 和子 Agent 持续存活（参见配置 → Docker 后端）

本页介绍方式一。容器将所有用户数据（配置、API 密钥、会话、技能、记忆）存储在从主机挂载到 /opt/data 的单一目录中。镜像本身是无状态的，可以通过拉取新版本进行升级，而不会丢失任何配置。

快速开始

如果这是你第一次运行 Hermes Agent，请在主机上创建数据目录并以交互方式启动容器，进入安装向导：

mkdir -p ~/.hermes
docker run -it --rm \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent setup

这将进入安装向导，提示你输入 API 密钥并将其写入 ~/.hermes/.env。此步骤只需执行一次。强烈建议在此时配置一个聊天系统以使网关正常工作。

以网关模式运行

配置完成后，在后台以持久化网关模式运行容器（Telegram、Discord、Slack、WhatsApp 等）：

docker run -d \
  --name hermes \
  --restart unless-stopped \
  -v ~/.hermes:/opt/data \
  -p 8642:8642 \
  nousresearch/hermes-agent gateway run

端口 8642 暴露网关的 OpenAI 兼容 API 服务器和健康检查端点。如果你只使用聊天平台（Telegram、Discord 等），该端口是可选的；但如果你希望仪表盘或外部工具能访问网关，则需要开放此端口。

注意：API 服务器需要 API_SERVER_ENABLED=true 才能启用。若要在容器内将其暴露到 127.0.0.1 之外，还需设置 API_SERVER_HOST=0.0.0.0 和 API_SERVER_KEY（至少 8 个字符——可使用 openssl rand -hex 32 生成）。示例：

docker run -d \
  --name hermes \
  --restart unless-stopped \
  -v ~/.hermes:/opt/data \
  -p 8642:8642 \
  -e API_SERVER_ENABLED=true \
  -e API_SERVER_HOST=0.0.0.0 \
  -e API_SERVER_KEY=your_api_key_here \
  -e API_SERVER_CORS_ORIGINS='*' \
  nousresearch/hermes-agent gateway run

在面向互联网的机器上开放任何端口都存在安全风险。除非你了解相关风险，否则不应这样做。

运行仪表盘

内置的 Web 仪表盘作为可选的附属进程在与网关相同的容器中运行。设置 HERMES_DASHBOARD=1 并在网关的 8642 端口旁边暴露 9119 端口：

docker run -d \
  --name hermes \
  --restart unless-stopped \
  -v ~/.hermes:/opt/data \
  -p 8642:8642 \
  -p 9119:9119 \
  -e HERMES_DASHBOARD=1 \
  nousresearch/hermes-agent gateway run

入口点脚本在 exec 主命令之前，在后台以非 root 的 hermes 用户身份启动 hermes dashboard。仪表盘输出在 docker logs 中以 [dashboard] 为前缀，便于与网关日志区分。

环境变量	说明	默认值
HERMES_DASHBOARD	设置为 1（或 true / yes）以在主命令旁边启动仪表盘	（未设置——不启动仪表盘）
HERMES_DASHBOARD_HOST	仪表盘 HTTP 服务器的绑定地址	0.0.0.0
HERMES_DASHBOARD_PORT	仪表盘 HTTP 服务器的端口	9119
HERMES_DASHBOARD_TUI	设置为 1 以暴露浏览器内聊天标签（通过 PTY/WebSocket 嵌入的 hermes --tui）	（未设置）

默认 HERMES_DASHBOARD_HOST=0.0.0.0 是让主机通过已发布端口访问仪表盘所必需的；在这种情况下，入口点会自动向 hermes dashboard 传递 --insecure。如果你想将仪表盘限制为仅容器内访问（例如在反向代理后面的 sidecar 中），可以覆盖为 127.0.0.1。

备注

仪表盘附属进程不受监控 — 如果崩溃，将持续停止直到容器重启。不支持将其作为独立容器运行：仪表盘的网关存活检测需要与网关进程共享 PID 命名空间。

以交互方式运行（CLI 聊天）

若要对正在运行的数据目录打开交互式聊天会话：

docker run -it --rm \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent

或者，如果你已经在运行中的容器内打开了终端（例如通过 Docker Desktop），直接运行：

/opt/hermes/.venv/bin/hermes

持久化卷

/opt/data 卷是所有 Hermes 状态的唯一数据源。它映射到主机的 ~/.hermes/ 目录，包含：

路径	内容
.env	API 密钥和机密
config.yaml	所有 Hermes 配置
SOUL.md	Agent 个性/身份
sessions/	对话历史
memories/	持久化记忆存储
skills/	已安装的技能
cron/	定时任务定义
hooks/	事件钩子
logs/	运行时日志
skins/	自定义 CLI 皮肤

注意

切勿同时对同一数据目录运行两个 Hermes 网关容器 — 会话文件和记忆存储不支持并发写入访问。

多配置文件支持

Hermes 支持多个配置文件 — 独立的 ~/.hermes/ 目录，允许你从单一安装运行独立的 Agent（不同的 SOUL、技能、记忆、会话和凭证）。在 Docker 下运行时，不建议使用 Hermes 内置的多配置文件功能。

推荐的模式是每个配置文件一个容器，每个容器将各自的主机目录以 bind-mount 方式挂载为 /opt/data：

# 工作配置文件
docker run -d \
  --name hermes-work \
  --restart unless-stopped \
  -v ~/.hermes-work:/opt/data \
  -p 8642:8642 \
  nousresearch/hermes-agent gateway run

# 个人配置文件
docker run -d \
  --name hermes-personal \
  --restart unless-stopped \
  -v ~/.hermes-personal:/opt/data \
  -p 8643:8642 \
  nousresearch/hermes-agent gateway run

在 Docker 中使用独立容器而非配置文件的原因：

• 隔离 — 每个容器拥有独立的文件系统、进程表和资源限制。一个配置文件中的崩溃、依赖变更或失控会话不会影响其他配置文件。
• 独立的生命周期 — 独立地升级、重启、暂停或回滚每个 Agent（docker restart hermes-work 不会影响 hermes-personal）。
• 干净的端口和网络分隔 — 每个网关绑定各自的主机端口；聊天平台或 API 服务器之间不存在串扰风险。
• 更简单的心智模型 — 容器即配置文件。备份、迁移和权限管理都跟随 bind-mount 的目录，无需记住额外的 --profile 标志。
• 避免并发写入风险 — 上述关于永不对同一数据目录运行两个网关的警告同样适用于单个容器内的配置文件。

在 Docker Compose 中，这意味着为每个配置文件声明一个服务，使用不同的 container_name、volumes 和 ports：

services:
  hermes-work:
    image: nousresearch/hermes-agent:latest
    container_name: hermes-work
    restart: unless-stopped
    command: gateway run
    ports:
      - "8642:8642"
    volumes:
      - ~/.hermes-work:/opt/data

  hermes-personal:
    image: nousresearch/hermes-agent:latest
    container_name: hermes-personal
    restart: unless-stopped
    command: gateway run
    ports:
      - "8643:8642"
    volumes:
      - ~/.hermes-personal:/opt/data

环境变量转发

API 密钥从容器内的 /opt/data/.env 读取。也可以直接传递环境变量：

docker run -it --rm \
  -v ~/.hermes:/opt/data \
  -e ANTHROPIC_API_KEY="sk-ant-..." \
  -e OPENAI_API_KEY="sk-..." \
  nousresearch/hermes-agent

直接使用 -e 传递的参数会覆盖 .env 中的值。这对于 CI/CD 或密钥管理器集成很有用，因为你不想将密钥存储在磁盘上。

Docker Compose 示例

对于同时运行网关和仪表盘的持久化部署，docker-compose.yaml 很方便：

services:
  hermes:
    image: nousresearch/hermes-agent:latest
    container_name: hermes
    restart: unless-stopped
    command: gateway run
    ports:
      - "8642:8642"   # 网关 API
      - "9119:9119"   # 仪表盘（仅在 HERMES_DASHBOARD=1 时生效）
    volumes:
      - ~/.hermes:/opt/data
    environment:
      - HERMES_DASHBOARD=1
      # 若要转发特定环境变量而非使用 .env 文件，取消注释以下行：
      # - ANTHROPIC_API_KEY=${ANTHROPIC_API_KEY}
      # - OPENAI_API_KEY=${OPENAI_API_KEY}
      # - TELEGRAM_BOT_TOKEN=${TELEGRAM_BOT_TOKEN}
    deploy:
      resources:
        limits:
          memory: 4G
          cpus: "2.0"

使用 docker compose up -d 启动，使用 docker compose logs -f 查看日志。仪表盘输出以 [dashboard] 为前缀，便于与网关日志区分。

资源限制

Hermes 容器需要适量的资源。推荐最低配置：

资源	最低要求	推荐配置
内存	1 GB	2–4 GB
CPU	1 核	2 核
磁盘（数据卷）	500 MB	2+ GB（随会话/技能增长）

浏览器自动化（Playwright/Chromium）是最耗内存的功能。如果不需要浏览器工具，1 GB 已足够。启用浏览器工具时，请分配至少 2 GB。

在 Docker 中设置限制：

docker run -d \
  --name hermes \
  --restart unless-stopped \
  --memory=4g --cpus=2 \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent gateway run

Dockerfile 的作用

官方镜像基于 debian:13.4，包含：

• Python 3 及所有 Hermes 依赖（uv pip install -e ".[all]"）
• Node.js + npm（用于浏览器自动化和 WhatsApp 桥接）
• 带 Chromium 的 Playwright（npx playwright install --with-deps chromium --only-shell）
• ripgrep、ffmpeg、git 和 tini 作为系统工具
• docker-cli — 使容器内运行的 Agent 可以驱动主机的 Docker 守护进程（bind-mount /var/run/docker.sock 以启用），用于 docker build、docker run、容器检查等。
• openssh-client — 支持从容器内使用 SSH 终端后端。SSH 后端调用系统 ssh 二进制文件；缺少此组件会在容器化安装中静默失败。
• WhatsApp 桥接（scripts/whatsapp-bridge/）

入口点脚本（docker/entrypoint.sh）在首次运行时引导数据卷：

• 创建目录结构（sessions/、memories/、skills/ 等）
• 如果不存在 .env 则复制 .env.example → .env
• 如果缺少 config.yaml 则复制默认值
• 如果缺少 SOUL.md 则复制默认值
• 使用基于清单的方式同步捆绑技能（保留用户编辑）
• 当 HERMES_DASHBOARD=1 时，可选在后台以附属进程方式启动 hermes dashboard（参见运行仪表盘）
• 然后使用你传递的任何参数运行 hermes

注意

不要覆盖镜像入口点，除非你在命令链中保留了 /opt/hermes/docker/entrypoint.sh。入口点在网关状态文件创建前会将 root 权限降至 hermes 用户。在官方镜像中以 root 身份启动 hermes gateway run 默认会被拒绝，因为这可能在 /opt/data 中留下 root 所有的文件，导致后续仪表盘或网关启动失败。仅在你确实接受该风险时才设置 HERMES_ALLOW_ROOT_GATEWAY=1。

升级

拉取最新镜像并重新创建容器。你的数据目录不受影响。

docker pull nousresearch/hermes-agent:latest
docker rm -f hermes
docker run -d \
  --name hermes \
  --restart unless-stopped \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent gateway run

或使用 Docker Compose：

docker compose pull
docker compose up -d

技能与凭证文件

当使用 Docker 作为执行环境时（不是上述方法，而是 Agent 在 Docker 沙箱内执行命令——参见配置 → Docker 后端），Hermes 会复用单一的长期运行容器用于所有工具调用，并自动将技能目录（~/.hermes/skills/）和技能声明的所有凭证文件以只读卷形式 bind-mount 到该容器中。技能脚本、模板和引用在沙箱内无需手动配置即可访问，且由于容器在 Hermes 进程的整个生命周期内持续运行，你安装的所有依赖或写入的文件都会保留到下次工具调用。

SSH 和 Modal 后端也会进行相同的同步——技能和凭证文件在每次命令前通过 rsync 或 Modal mount API 上传。

连接本地推理服务器（vLLM、Ollama 等）

当在 Docker 中运行 Hermes 且你的推理服务器（vLLM、Ollama、text-generation-inference 等）也在主机上或另一个容器中运行时，网络需要额外注意。

Docker Compose（推荐）

将两个服务放在同一 Docker 网络中。这是最可靠的方式：

services:
  vllm:
    image: vllm/vllm-openai:latest
    container_name: vllm
    command: >
      --model Qwen/Qwen2.5-7B-Instruct
      --served-model-name my-model
      --host 0.0.0.0
      --port 8000
    ports:
      - "8000:8000"
    networks:
      - hermes-net
    deploy:
      resources:
        reservations:
          devices:
            - capabilities: [gpu]

  hermes:
    image: nousresearch/hermes-agent:latest
    container_name: hermes
    restart: unless-stopped
    command: gateway run
    ports:
      - "8642:8642"
    volumes:
      - ~/.hermes:/opt/data
    networks:
      - hermes-net

networks:
  hermes-net:
    driver: bridge

然后在 ~/.hermes/config.yaml 中，使用容器名称作为主机名：

model:
  provider: custom
  model: my-model
  base_url: http://vllm:8000/v1
  api_key: "none"

关键注意事项

• 使用容器名称（vllm）作为主机名 — 而非 localhost 或 127.0.0.1，这两者指向 Hermes 容器自身。
• model 值必须与传递给 vLLM 的 --served-model-name 匹配。
• 将 api_key 设置为任意非空字符串（vLLM 要求该请求头，但默认不验证）。
• base_url 末尾不要加斜杠。

独立 Docker run（不使用 Compose）

如果你的推理服务器直接在主机上运行（不在 Docker 中），在 macOS/Windows 上使用 host.docker.internal，在 Linux 上使用 --network host：

macOS / Windows：

docker run -d \
  --name hermes \
  -v ~/.hermes:/opt/data \
  -p 8642:8642 \
  nousresearch/hermes-agent gateway run

# config.yaml
model:
  provider: custom
  model: my-model
  base_url: http://host.docker.internal:8000/v1
  api_key: "none"

Linux（主机网络）：

docker run -d \
  --name hermes \
  --network host \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent gateway run

# config.yaml
model:
  provider: custom
  model: my-model
  base_url: http://127.0.0.1:8000/v1
  api_key: "none"

使用 --network host 时，-p 标志会被忽略 — 所有容器端口都直接暴露在主机上。

验证连通性

从 Hermes 容器内部确认推理服务器可访问：

docker exec hermes curl -s http://vllm:8000/v1/models

你应该看到列出你的服务模型的 JSON 响应。如果失败，请检查：

1. 两个容器是否在同一 Docker 网络中（docker network inspect hermes-net）
2. 推理服务器是否在 0.0.0.0 而非 127.0.0.1 上监听
3. 端口号是否匹配

Ollama

Ollama 的配置方式相同。如果 Ollama 在主机上运行，使用 host.docker.internal:11434（macOS/Windows）或 127.0.0.1:11434（Linux 配合 --network host）。如果 Ollama 在同一 Docker 网络的独立容器中运行：

model:
  provider: custom
  model: llama3
  base_url: http://ollama:11434/v1
  api_key: "none"

故障排查

容器立即退出

查看日志：docker logs hermes。常见原因：

• .env 文件缺失或无效 — 先以交互方式运行以完成设置
• 使用暴露端口时出现端口冲突

"Permission denied" 错误

容器的入口点通过 gosu 将权限降级为非 root 的 hermes 用户（UID 10000）。如果你的主机 ~/.hermes/ 属于不同的 UID，设置 HERMES_UID/HERMES_GID 以匹配你的主机用户，或确保数据目录可写：

chmod -R 755 ~/.hermes

浏览器工具无法使用

Playwright 需要共享内存。在 Docker run 命令中添加 --shm-size=1g：

docker run -d \
  --name hermes \
  --shm-size=1g \
  -v ~/.hermes:/opt/data \
  nousresearch/hermes-agent gateway run

网络问题后网关无法重新连接

--restart unless-stopped 标志可处理大多数临时性故障。如果网关卡住，重启容器：

docker restart hermes

检查容器健康状态

docker logs --tail 50 hermes          # 最近的日志
docker run -it --rm nousresearch/hermes-agent:latest version     # 验证版本
docker stats hermes                    # 资源使用情况