hermes agent配置文件加密必须使用hermes config encrypt命令，基于aes-256-cbc对称加密并base64编码，扩展名自动改为.config.enc；支持vault/aws kms密钥外置；启动时自动解密不落盘；需通过--dry-run验证完整性。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用Hermes Agent时需要保护配置文件中的敏感信息，例如API密钥、令牌或凭证，则必须对这些配置文件进行加密处理。以下是实现配置文件加密的具体方法：
一、使用hermes config encrypt命令加密
该命令是Hermes Agent内置的官方加密工具，基于对称加密算法（默认AES-256-CBC）对配置文件进行原地加密，仅授权用户可解密读取。加密后的内容无法被明文解析，有效防止未授权访问。
1、确保Hermes Agent已正确安装并可执行hermes命令。
2、进入包含待加密配置文件的目录，例如~/.hermes/config.yaml。
3、运行加密命令：hermes config encrypt ~/.hermes/config.yaml。
4、系统将提示输入密码，该密码将用于派生加密密钥，请务必安全保存。
5、加密完成后，原文件内容被替换为Base64编码的加密载荷，文件扩展名自动更改为.config.enc。
二、手动配置加密密钥与密钥派生参数
当需对接企业级密钥管理服务（如HashiCorp Vault或AWS KMS）时，可通过环境变量覆盖默认加密行为，实现密钥外置与集中管控，避免密码硬编码在本地。
1、设置环境变量指定密钥源：HERMES_ENCRYPTION_KEY_SOURCE=vault。
2、配置Vault地址与认证路径：VAULT_ADDR=https://vault.example.com VAULT_TOKEN=your-vault-token。
3、指定密钥路径：HERMES_ENCRYPTION_KEY_PATH=secret/data/hermes/encryption-key。
4、再次执行hermes config encrypt命令，此时密钥将从Vault动态获取而非本地密码派生。
三、启用配置文件自动解密加载机制
为保障运行时可用性，Hermes Agent支持在启动过程中自动解密已加密的配置文件，无需人工干预。该机制依赖于运行环境能否提供正确的解密凭据，否则服务将拒绝启动。
1、确认当前shell环境中已设置解密所需凭据，例如密码或Vault Token。
2、启动Agent时显式声明加密配置路径：hermes agent start --config ~/.hermes/config.yaml.config.enc。
3、Agent检测到.config.enc后缀，自动触发解密流程，并将明文配置注入内存上下文。
4、解密过程不落盘，原始加密文件保持不变，内存中明文配置在进程退出后立即清除。
四、验证加密完整性与解密可用性
加密操作完成后，必须验证加密结果是否可逆且未损坏，防止因配置错误导致服务不可用。验证步骤独立于加密流程，需在安全隔离环境中执行。
1、备份原始明文配置文件至安全位置。
2、运行验证命令：hermes config decrypt --dry-run ~/.hermes/config.yaml.config.enc。
3、观察输出是否显示“Decryption successful”及配置结构摘要，无报错即表示密钥和密文匹配。
4、若失败，检查环境变量HERMES_ENCRYPTION_PASSWORD是否设置，或Vault连接状态是否正常。
