Auto-hébergez Hermes Agent sur un VPS

Ce qu'est Hermes Agent

Hermes Agent est un agent IA auto-hébergé de Nous Research, publié en février 2026. Vous l'exécutez sur votre propre serveur, et il conserve une mémoire persistante de vos projets, écrit ses propres compétences réutilisables au fil de son travail, et vous joint via des applications de messagerie comme Telegram et Discord. Il est agnostique quant au modèle, vous le pointez donc vers le modèle de langage de votre choix, et il est assez léger pour tourner sur un VPS à 5 $, dans Docker ou via SSH.

Comme tout agent, sa valeur vient du fait qu'il agit en votre nom, et c'est aussi pourquoi vous le configurez avec soin. Un agent qui se souvient, apprend et exécute des tâches est un processus permanent doté d'un accès réel à votre serveur. Ce guide l'installe de manière sûre, et le renforcement présenté ici est le même que celui que vous appliqueriez pour exécuter OpenClaw en toute sécurité.

L'installation en une commande, et pourquoi la lire d'abord

Hermes s'installe avec une seule commande :

curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash

C'est pratique, et c'est aussi une pratique qui mérite le respect. Rediriger un script directement depuis Internet vers un shell exécute tout ce que ce script contient, avec les droits de l'utilisateur qui le lance. Avant de l'exécuter sur un vrai serveur, téléchargez-le d'abord, lisez-le, et exécutez-le en tant qu'utilisateur dédié plutôt qu'en root :

curl -fsSL https://hermes-agent.nousresearch.com/install.sh -o hermes-install.sh
less hermes-install.sh

Il ne s'agit pas de se méfier de Hermes en particulier. C'est l'habitude qui empêche toute installation par curl | bash de devenir discrètement le maillon faible de votre configuration.

Attribuez-lui un utilisateur non privilégié

Exécutez Hermes sous son propre compte système, jamais en root, afin qu'un bug ou une instruction malveillante ne puisse pas atteindre le reste de la machine. Créez un utilisateur sans shell de connexion :

sudo useradd --system --home /opt/hermes --shell /usr/sbin/nologin hermes

Installez Hermes sous /opt/hermes et faites de ce compte le propriétaire. L'installateur officiel installe pour l'utilisateur qui l'exécute, donc exécutez le script que vous avez téléchargé en tant qu'utilisateur hermes, par exemple sudo -u hermes bash hermes-install.sh, et les fichiers atterrissent dans son répertoire personnel au lieu du vôtre. Le raisonnement est le même que dans l'exécution de services sous un utilisateur non privilégié : le compte sous lequel l'agent s'exécute est la limite de ce qu'il peut endommager.

Protégez le serveur par un pare-feu et isolez ses secrets

Hermes accomplit son travail en contactant un modèle et les applications de messagerie que vous connectez, il n'a donc pas besoin d'accepter de connexions entrantes depuis Internet. Placez devant le serveur un pare-feu qui refuse tout par défaut :

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Faites attention ici à la faille de pare-feu IPv6, car un jeu de règles qui ne couvre qu'IPv4 peut laisser un service exposé en IPv6. Conservez la clé d'API du modèle et les éventuels jetons de messagerie dans un fichier que seul l'utilisateur hermes peut lire (mode 600), et chargez-le dans le service plutôt que de le coller sur une ligne de commande où il atterrit dans l'historique de votre shell.

Exécutez Hermes comme un service systemd renforcé

Une unité systemd maintient Hermes en fonctionnement après votre déconnexion et après un redémarrage, le relance s'il plante, et vous permet d'ajouter un bac à sable au niveau du noyau qui limite ce à quoi il peut toucher. Activez NoNewPrivileges, ProtectSystem=strict, PrivateTmp et ProtectHome afin qu'une compromission reste confinée.

Générez ici une unité renforcée, puis copiez-la dans /etc/systemd/system/hermes.service. L'unité démarre hermes gateway, le processus de longue durée qui connecte vos applications de messagerie ; exécutez hermes --help après l'installation pour confirmer cette commande et le chemin du binaire sur votre version avant d'activer le service :

Les directives, ainsi que les étapes daemon-reload et enable --now, sont traitées dans l'exécution d'un programme en tant que service systemd :

sudo systemctl daemon-reload
sudo systemctl enable --now hermes

Renforcez le serveur autour de lui

Terminez en renforçant la porte d'entrée. Passez SSH à une authentification par clé uniquement et désactivez la connexion root, comme dans le renforcement de SSH sur un VPS, afin que le compte que vous utilisez pour gérer le serveur ne puisse pas être deviné. Un agent qui conserve une mémoire persistante mérite d'être protégé, et la protection la moins coûteuse consiste à s'assurer que personne ne peut se connecter au serveur sur lequel il vit.

Si vous préférez comprendre les rouages plutôt que d'exécuter un agent clé en main, créer votre propre agent IA sur un VPS l'explique étape par étape.

FAQ

Puis-je exécuter Hermes Agent sur un VPS bon marché ?

Oui. Hermes est conçu pour tourner sur un petit serveur, et un VPS à 5 $ suffit pour un agent personnel, actif en permanence. Il contacte un modèle de langage et vos applications de messagerie plutôt que de servir un trafic important, il est donc peu gourmand en ressources. Donnez-lui son propre utilisateur, un pare-feu et un service systemd, et un petit VPS le gère sans problème.

Le script d'installation en une ligne est-il sûr à exécuter ?

L'installation par curl | bash est pratique, mais la bonne habitude consiste à télécharger le script et à le lire avant de l'exécuter, et à le lancer en tant qu'utilisateur dédié plutôt qu'en root. Ainsi, un installateur redirigé, quel que soit le projet, ne peut jamais faire plus que ce que ce compte limité autorise. Rien ici n'est spécifique à Hermes ; c'est une bonne pratique pour toute installation de ce type.

Comment exécuter Hermes sans root ?

Créez un utilisateur système dédié sans shell de connexion, installez Hermes dans un répertoire que cet utilisateur possède, tel que /opt/hermes, et exécutez le service sous ce compte. Si l'agent est un jour compromis, les dégâts se limitent à ce que ce seul compte peut atteindre.

Comment maintenir Hermes en fonctionnement après ma déconnexion ?

Exécutez-le comme un service systemd. Un fichier d'unité démarre Hermes au démarrage, le relance s'il plante, et le maintient en fonctionnement après la fin de votre session SSH, tandis que les options de bac à sable de systemd limitent ce à quoi le processus peut toucher. Générez une unité renforcée avec l'outil ci-dessus et activez-la avec systemctl enable --now hermes.

Hermes Agent a-t-il besoin d'un GPU ?

Non. Hermes est le moteur d'exécution de l'agent, pas le modèle de langage, il fonctionne donc très bien sur un petit VPS uniquement CPU. Le calcul lourd se produit là où tourne le modèle, ce qui est généralement une API hébergée à laquelle vous le connectez. Si vous voulez aussi auto-héberger le modèle sur la même machine, dimensionnez la machine pour le modèle plutôt que pour Hermes lui-même. Pour l'hébergement d'un modèle uniquement sur CPU, les chiffres du guide Ollama s'appliquent.