概述
hermes security audit 针对 OSV.dev 漏洞数据库执行一次性供应链扫描。它检查 Hermes 的 Python 虚拟环境、~/.hermes/plugins/ 下插件声明的 Python 依赖，以及 config.yaml 中固定的 npx/uvx MCP 服务器。
hermes security audit审计范围
| 组件 | 范围 |
|---|---|
| Hermes 虚拟环境 | 已安装的 PyPI 分发包及其依赖 |
| 插件 | ~/.hermes/plugins/ 下插件声明的 Python 依赖 |
| MCP 服务器 | config.yaml 中固定的 npx/uvx 服务器 |
它不会扫描全局安装的包、编辑器扩展或浏览器扩展。
常见场景
定期安全检查
hermes security audit建议每周运行一次，或在安装新插件/MCP 服务器后运行。
安装插件后验证
hermes plugins install some-plugin
hermes security audit确认新插件没有向供应链引入已知漏洞。
添加 MCP 服务器后
hermes mcp add my-server --command "npx [email protected]"
hermes security audit审计会评估固定版本的服务器包在 OSV.dev 中是否存在漏洞。
更新后验证
hermes update
hermes security audit确认更新后的 Hermes 及其依赖没有已知安全问题。
提示
- 审计查询由 Google 维护的开源漏洞数据库 OSV.dev。
- 审计为只读操作，不会修改系统上的任何文件。
- 需要联网才能查询 OSV.dev。
- 优先处理 HIGH 和 CRITICAL 级别发现；升级或移除受影响的包/插件。
- 生产环境建议通过
hermes cron定期执行审计。