Hermes Agentの使い方（初心者向け）｜オープンウェイトモデルをFireworksで安全に動かす設定と、データをどこまで渡すかの決め方

こんにちは、株式会社TIMEWELLの濱本です。2026年9月10日、リコージャパンが「RICOH オンプレLLMスターターキット」にオープンソースのAIエージェント「Hermes Agent」を搭載すると発表しました¹。大手の国内ベンダーが、自社製品にオープンソースのエージェントをそのまま載せて売る時代です。1年前なら考えにくかったことでした。GitHubのスターは24万を超え、フォークは5万を超えました²。前回のAIコーディングエージェントのコストを下げる5つの手段では、Hermes Agentを「サンドボックスと書き込み禁止パスを文書で示す水準に達したオープンソースのエージェント」として紹介しました。今回はその続きで、実際に手元で動かすところから書きます。

対象は、エンジニアではないけれど自分のPCでAIエージェントを試してみたい方、そして情報システム部門から「オープンソースのエージェントを社内で使っていいのか」と聞かれて答えに困っている方。裏側のモデルには、Kimi K3やDeepSeek V4、GLM 5.3といったオープンウェイトモデルを、Fireworks AIのような推論サービス経由で使う構成を軸にします。理由は二つ。安いこと、そしてモデルを差し替えられることです。ただし「安全に」という条件を付けると、設定しなければならない項目がいくつか出てきます。そこを飛ばした記事が多いと感じているので、この記事では設定の話に一番の紙幅を割きます。自社のAI活用がどの段階にあるかは、AI導入準備度チェックで3分ほどで確認できます。

要約: Hermes Agentは、Nous Researchが公開するMITライセンスの自己改善型AIエージェントです。ワンライナーでインストールでき、hermes modelで接続先のモデルを切り替えられます。Fireworks AIは組み込みのプロバイダで、APIキーを設定するだけでKimi K3やDeepSeek V4、GLM 5.3などをトークン単価で使えます。Fireworksは既定でゼロデータ保持を掲げていますが、サーバレス推論の処理場所は世界中に分散しており、日本限定の選択肢はありません。安全に使う鍵は、承認モードを既定のままにし、Dockerサンドボックスとegressプロキシで「エージェントが本物の鍵とホストに触れない」構成にすることです。

Hermes Agentとは何か。3分で押さえる

Hermes Agentは、米国のAI研究組織Nous Researchが2026年に公開した、オープンソースのAIエージェントです。READMEには「自己改善型」とあり、タスクをこなすたびに手順を「スキル」として保存し、次から再利用する仕組みを持っています。会話の記憶を検索し、利用者の好みを覚え、ターミナルのコマンドやファイル操作、ウェブ検索、ブラウザ操作を自律的に実行します²。

特徴を三つに絞ります。一つ目は、モデルに縛られないことです。READMEは「好きなモデルを使える。Nous Portal、OpenRouter、OpenAI、自前のエンドポイント、その他多数」と書き、hermes modelというコマンド一つで切り替えられるとしています²。二つ目は、動く場所を選ばないことです。ターミナルだけでなく、Telegram、Discord、Slack、WhatsApp、Signalから同じエージェントに話しかけられ、自分のPCでも、月5ドルのVPSでも、Docker、SSH、Modal、Daytona、Vercel Sandboxといった隔離環境でも動きます²。三つ目は、開発の速さです。2026年8月31日のv0.21.0は、前のメジャー版から約5,800コミット、約2,475件のPRをまとめたもので、9月11日のv0.21.2に至っては、わずか4日間で947コミット、140人のコントリビューターが関わっています³。

この速さは、良い面と注意すべき面の両方を持ちます。良い面は、セキュリティの修正や新しいモデルへの対応が数日で入ることです。注意すべき面は、設定項目やコマンドが版ごとに変わりうることで、この記事も2026年9月12日時点の公式ドキュメントに基づいて書いています。半年後に読む方は、必ず最新のドキュメントを確認してください。

開発元のNous Researchは2023年設立で、TechCrunchによれば2026年7月時点で評価額15億ドルでの資金調達を協議していると報じられました⁴。収益源は「Nous Portal」という購読サービスで、無料プランは無料モデルのみ、有料は月20ドル（22ドル分のクレジット）、100ドル、200ドルの3段階です⁵。ここは押さえておくべき点で、Hermes Agent本体は無料でも、裏側のモデル代は誰かに払う必要があります。それがNous Portalなのか、Fireworksのような推論サービスなのか、自分のGPUなのかを選ぶのが、この記事の後半の話になります。

日本での広がりも早いと感じています。NVIDIAは2026年5月の公式ブログで、Hermes Agentが公開から3か月足らずでスター14万を超え、OpenRouterの集計で「世界で最も利用されているエージェント」になったと書きました⁶。そして冒頭のリコージャパンの発表です。同社は、超小型のデスクサイドAIサーバーにリコー製のLLMとDifyをプリインストールし、そこにHermes Agentを加えました。Difyが定型業務、Hermes Agentが個別判断を伴う非定型業務という分担で、機密情報を外部に送らず、トークン数に応じた従量課金も発生しないことを売りにしています¹。オンプレミスの製品にオープンソースのエージェントを載せるという判断そのものが、この分野の成熟を示していると思います。

「オープンウェイト」と「どこで動かすか」は別の話

Hermes Agentの設定に入る前に、一つだけ言葉を整理させてください。「オープンウェイトモデル」とは、学習済みのパラメータ（重み）が公開されていて、誰でもダウンロードして自分の環境で動かせるモデルのことです。DeepSeek、Qwen、Kimi、GLM、そしてOpenAIのgpt-oss、GoogleのGemma、NVIDIAのNemotronがこれにあたります。

ここでよくある誤解が二つあります。一つは「オープンウェイト＝オープンソース」という誤解です。重みが公開されていても、ライセンスの条件はモデルごとに違います。2026年9月12日時点でHugging Faceに掲載されているライセンスを並べると、次のようになります⁷。

モデル	公開元	ライセンス	企業利用で見るべき条件
DeepSeek V4 Flash（0731）	DeepSeek	MIT	実質的に制約なし
Qwen3.8 27B	Alibaba	Apache 2.0	実質的に制約なし
gpt-oss-120b	OpenAI	Apache 2.0	実質的に制約なし
Gemma 4 31B	Google	Apache 2.0	実質的に制約なし
GLM 5.3 Flash	Z.AI	MIT	実質的に制約なし
GLM 5.3	Z.AI	独自（MITベース）	モデルをAPIとして他社に提供する事業で年間収入100億ドル超ならZ.AIの審査
Kimi K3	Moonshot AI	独自（MITベース）	同様の事業で年間収入2,000万ドル超ならMoonshotと別契約
Nemotron 3.5 Lightning	NVIDIA	OpenMDW 1.1	NVIDIAのオープンモデル向けライセンス
MiniMax M3	MiniMax	独自（community）	原文の確認が必要

Kimi K3とGLM 5.3の条件は、モデルそのものをAPIとして第三者に売る「Model as a Service」事業に向けたものです。自社の業務でエージェントを動かす分には、まず引っかかりません。ただし「引っかからないはず」で済ませず、原文を一度読んでおくことを勧めます。2ページほどの短い文書です。

もう一つの誤解は、「オープンウェイトを使う＝データが外に出ない」というものです。重みが公開されていても、それを動かす場所は三つに分かれます。推論サービス（Fireworks、Together、Nebius Token Factory、国内ならさくらのAI Engineなど）に送って動かす。自分のPCでOllamaやLM Studioで動かす。自社のGPUサーバーでvLLMなどで動かす。どれを選ぶかで、データがどこへ行くかは全く違います。Hermes Agentはこの三つすべてに対応していて、プロバイダの一覧にはFireworks、Nebius Token Factory、Hugging Face、NVIDIA NIMといった推論サービスと、Ollama、LM Studio、vLLM、llama.cppといったローカル実行の両方が並んでいます⁸。この記事ではまず推論サービス、その中でもFireworksを例に取ります。

Fireworks AIは何者で、データはどこへ行くのか

Fireworks AIは、オープンモデルの推論と学習に特化した米国の企業です。2026年7月15日に15.05億ドルのシリーズDを発表し、評価額は175億ドル。同じ発表で、年間換算の売上が10億ドルを超え、1日に40兆トークン以上を処理していること、そのうち95%以上が顧客のデータで特化させたモデルであることを明らかにしています⁹。汎用モデルを貸すのではなく、顧客が自分のモデルを持つことを支援する会社だ、というのが同社の自己定義です。

料金は公式の価格ページに、100万トークンあたりの入力、キャッシュ済み入力、出力の順で書かれています。2026年9月12日時点の主なモデルを抜き出します¹⁰。

モデル	入力	キャッシュ入力	出力
Kimi K3	$3.00	$0.30	$15.00
Kimi K2.6	$0.95	$0.16	$4.00
DeepSeek V4.1 Flash	$0.22	$0.007	$0.66
DeepSeek V4 Pro（0813）	$1.32	$0.044	$3.96
GLM 5.3	$1.40	$0.26	$4.40
GLM 5.3 Flash	$0.15	$0.03	$0.50
Qwen 3.8 Max	$2.00	$0.25	$6.00
gpt-oss-120b	$0.15	$0.015	$0.60
Nemotron 3.5 Lightning 30B	$0.05	$0.01	$0.20

前回の記事で確認したClaude Opus 5の入力5ドル、出力25ドルと比べると、DeepSeek V4.1 Flashは入力で約23分の1、出力で約38分の1です。もちろん能力は同じではありません。ただ、エージェントが裏側で何十回も回す「ファイルを読む」「テスト結果を要約する」といった作業の多くは、最上位モデルでなくても十分にこなせます。非同期でよい処理はBatch APIに回すと半額になり、新規アカウントには1ドル分の無料クレジットが付きます¹⁰。

次に、安全性の話です。Fireworksの公式ドキュメントは「ゼロデータ保持（Zero Data Retention）」を既定として掲げています。オープンモデルについて、明示的なオプトインがない限りプロンプトも生成結果もログに残さず、永続ストレージにも書かず、データはリクエストの間だけ揮発メモリに存在し、プロンプトキャッシュが有効なときは数分間メモリに残る、という説明です¹¹。例外がひとつあります。OpenAI互換のResponse APIを使う場合、store=Trueが既定なので会話が30日間保持されます。store=Falseを付ければ保持されず、削除APIで即時に消すこともできます¹¹。Hermes Agentは通常Chat Completions形式で接続するので該当しませんが、他のツールから使うときは覚えておいてください。

認証の面では、Fireworksは自社サイトでISO 27001、ISO 27701、ISO 42001の取得と、SOC 2 Type II、HIPAA対応を表明しています¹²。ここは「Fireworksがそう表明している」と書くにとどめます。当社が監査したわけではないので、契約前には同社のTrust Centerで証明書と監査報告書を確認してください。

そして、この記事で一番伝えたい点です。ゼロデータ保持と、データがどこで処理されるかは別の話です。 Fireworksのリージョン一覧には、米国の各州、フランクフルト、アイスランド、マレーシア、シドニー、そして東京（AP_TOKYO_1がH100、AP_TOKYO_2がH200）が並んでいます¹³。ただし、これは自分専用のGPUを借りる「デプロイメント」の話で、しかも単一リージョンは問い合わせと割り当てが必要です。誰もが使うサーバレス推論は、既定で世界中の拠点に分散して処理されます。処理場所を限定したい人向けには「US-only Serverless」があり、us.api.fireworks.aiというエンドポイントでKimi K3やDeepSeek V4 Flash、GLM 5.3などを米国内だけで動かせますが、2026年9月1日以降は基本価格の50%増しです¹⁴。EU限定は営業への相談、日本限定のサーバレスは提供されていません。東京で動かしたければ専用デプロイメントで、こちらは1.5倍の料金です¹⁰。

つまり「Fireworksなら国内で完結する」は誤りで、「Fireworksは学習に使わず保存もしないと表明しているが、処理は世界中で行われる」が正確です。国内リージョンでLLMは動かせるのかで書いたとおり、リージョン指定は設定項目から課金対象に変わりました。この事実を踏まえたうえで、どのデータをFireworksに送り、どのデータを送らないかを決める必要があります。その線引きは最後の節で扱います。

手順。インストールからFireworks接続まで

ここからは実際の手順です。公式のQuickstartに沿って進めます¹⁵。所要時間は、慣れていない方でも30分ほどです。

1. インストール。 macOSとWindowsでは、公式サイトのHermes Desktopインストーラーを使うのが推奨されています。コマンドラインだけでよければ、macOS、Linux、WSL2ではターミナルで次の1行を実行します。

curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash

Windowsで直接動かす場合はPowerShellでiex (irm https://hermes-agent.nousresearch.com/install.ps1)です。インストーラーがuv、Python 3.11、Node.js、ripgrepなどをまとめて入れてくれます。終わったらsource ~/.zshrc（または.bashrc）でシェルを読み直します²。

なお、企業のPCでは「URLから落としたスクリプトをそのまま実行する」こと自体が社内規程に触れる場合があります。その場合はスクリプトを一度ダウンロードして中身を確認してから実行するか、情報システム部門に相談してください。これはHermesに限らず、この種のツール全般に言えることです。

2. FireworksのAPIキーを設定する。 FireworksのコンソールでAPIキーを発行し、Hermesに登録します。秘密情報は~/.hermes/.envに、通常の設定は~/.hermes/config.yamlに分けて保存される設計で、次のコマンドを使えば自動的に正しい側に書き込まれます¹⁵。

hermes config set FIREWORKS_API_KEY fw_xxxxxxxx

3. モデルを選ぶ。 hermes modelを実行すると対話式のメニューが開くので、「Fireworks AI」を選び、ライブのカタログからモデルを選びます。Fireworksのモデル名はaccounts/fireworks/models/kimi-k2p6のようなスラッシュ区切りの形式です⁸。コマンドで直接指定するなら次のようになります。

hermes chat --provider fireworks --model accounts/fireworks/models/kimi-k2p6

一つ注意があります。Hermes Agentは64,000トークン以上のコンテキストを持つモデルを要求し、満たさないモデルは起動時に拒否されます¹⁵。Fireworksのカタログにある主要モデルは問題ありませんが、後述するローカルモデルでは設定が必要です。

4. 最初の会話。 hermes（または新しい画面のhermes --tui）で起動し、「このフォルダの中身を5行で要約して」のような、結果を確かめやすい指示を出します。モデル名が画面上部に表示され、エラーなく返事があり、ファイルを読むといった道具を使えていれば成功です。hermes --continueで前回の続きから再開できることも確認しておきます¹⁵。

5. モデルを切り替える、予備を用意する。 会話の途中で/modelと打てば、設定済みのプロバイダの中でモデルを切り替えられます。用途によって、日常のやりとりは安いDeepSeek V4.1 Flash、難しい設計はKimi K3、というように使い分けられるのがこの構成の利点です。さらにconfig.yamlにfallback_providersを書いておくと、主モデルがレート制限や障害で応答しないときに、会話を保ったまま予備のプロバイダに切り替わります⁸。

FireworksではなくTogether AIや国内のさくらのAI Engineを使いたい場合は、「カスタムエンドポイント」として登録します。OpenAI互換の/v1/chat/completionsを持つサーバーならどれでも接続でき、公式ドキュメントにはTogether AI向けの設定例が載っています⁸。

# ~/.hermes/config.yaml
providers:
  together:
    api: https://api.together.xyz/v1
    key_env: TOGETHER_API_KEY
model:
  default: MiniMaxAI/MiniMax-M2.7
  provider: custom:together

さくらのAI EngineもOpenAI互換のAPIを国内で提供しており、同じ書き方で接続できます。gpt-oss-120bが100万トークンあたり入力15円、出力75円という単価で、国内で完結する選択肢として前回の記事でも触れました¹⁶。

安全に使うための設定。ここが本題

エージェントは、チャットと違って「実行」します。ファイルを書き換え、コマンドを走らせ、ウェブを見に行く。だから設定を間違えると、被害はチャットの比ではありません。OWASPは2025年12月に「Top 10 for Agentic Applications 2026」を公開し、エージェント固有のリスクを10個に整理しました。目的の乗っ取り（ASI01）、ツールの誤用（ASI02）、権限の濫用（ASI03）、供給網（ASI04）、意図しないコード実行（ASI05）、記憶の汚染（ASI06）などです¹⁷。難しく聞こえますが、Hermes Agentの設定に落とすと、やるべきことはかなり具体的になります。

先に、この分野で実際に起きたことを一つ紹介します。Palo Alto NetworksのUnit 42は2026年7月30日、中国語話者の攻撃者がHermes AgentとDeepSeekを組み合わせ、Telegramから指示を出して460を超える標的に自律的に攻撃を試みた事例を報告しました¹⁸。Hermes AgentもDeepSeekも正当なオープンソースで、包丁が料理にも使われるのと同じ意味で、道具が悪用された事例です。私が注目したのはそこではなく、発覚の経緯です。攻撃者のエージェントが自分のホームディレクトリでファイルサーバーを起動してしまい、設定ファイル、APIキー、標的リスト、セッションログを丸ごとインターネットに露出させてしまったのです。それでUnit 42に見つかりました¹⁸。エージェントは、言われたことを、言われたとおりに、ときには言われた以上にやります。守る側にとっての教訓は、「エージェントが触れる範囲と、持てる鍵を最初から絞っておく」ことに尽きます。

Hermes Agentのセキュリティ文書は、この考え方で8つの層を用意しています¹⁹。初心者がまず設定すべきものを、順に説明します。

承認モードは既定のsmartのまま。--yoloは使わない。 Hermesは危険なコマンドを実行する前に人間の承認を求めます。既定のsmartモードでは、補助のモデルがリスクを評価し、python -c "print('hello')"のような低リスクは自動承認、本当に危険なものは自動拒否、判断がつかないものだけ人に聞きます。--yoloフラグや/yoloコマンド、HERMES_YOLO_MODE=1はこの承認を全部飛ばすもので、画面に赤い警告が出続けます。使い捨ての環境で自動化スクリプトを回すとき以外、使わないでください。なおrm -rf /やフォークボム、ディスクの直接書き込み、URLから落としたものをそのままシェルに流す操作は「ハードラインのブロックリスト」として、YOLOでも承認モードoffでも実行されません¹⁹。cronで動く無人のジョブは、危険コマンドに当たると既定で拒否（cron_mode: deny）になっています。ここも変えないほうがよいでしょう。

ターミナルはDockerで隔離する。 これが一番効く設定です。hermes config set terminal.backend dockerとすれば、エージェントが実行するコマンドはホストではなくコンテナの中で走ります。公式のコンテナは、Linuxの全権限を落とし（--cap-drop ALL）、権限昇格を禁止し、プロセス数を256に制限し、書き込み先を/opt/dataに限定した状態で起動します¹⁹。セキュリティ文書の比較表では、localは「隔離なし、ホストで実行」、dockerは「コンテナが境界」と書かれています。最初はlocalで試して感触をつかみ、社内データに触れさせる前にdockerに切り替える、という順序を勧めます。

本物の鍵をサンドボックスに置かない。 Dockerで隔離しても、コンテナの中に本物のAPIキーがあれば、プロンプトインジェクションでprintenv | grep -i keyと打たせれば抜けます。Hermesはこの穴を「egressプロキシ」で塞いでいます。サンドボックスには不透明な代替トークンだけを置き、ホスト側のプロキシが外向きの通信を止めて本物の鍵に差し替える仕組みです²⁰。hermes egress setupとhermes egress startで有効になります。2026年9月時点ではDockerバックエンドのみ対応です。加えて、terminal.docker_forward_envという設定は既定で空になっており、ここに変数名を書くとコンテナ内から読めるようになります。「便利だから」とAPIキーを入れないでください¹⁹。

書けない場所を決めておく。 write_fileやpatchが触れる前に、Hermesは対象パスを拒否リストと照合します。~/.ssh/、~/.aws/、~/.kube/、/etc/sudoers、~/.netrc、そしてプロジェクト内の.env系のファイルは常に拒否され、承認プロンプトすら出ません。さらにHERMES_WRITE_SAFE_ROOTを設定すると、指定したディレクトリの外には一切書けなくなります¹⁹。エージェントが「変更しました」と言っても実際には拒否されている場合があるので、画面下の検証フッターのほうを信じてください、という注意書きがドキュメントにあるのも正直で良いと思いました。

外に出ていく先を絞る。 ウェブ検索やブラウザ操作は、社内ネットワークやクラウドのメタデータ（169.254.169.254）などのプライベートアドレスへのアクセスを既定で拒否します。DNSが引けないときも拒否側に倒れます。security.allow_private_urlsをtrueにすると解除されますが、公開ゲートウェイでは絶対に有効にしないよう文書が警告しています。website_blocklistで社内の管理画面などを個別に禁止することもできます¹⁹。

Telegramなどから使うなら、許可リストが必須。 メッセージングのゲートウェイは便利ですが、誰でも話しかけられる状態は、誰でもあなたのPCでコマンドを実行できる状態と同じです。GATEWAY_ALLOW_ALL_USERS=trueは本番で使わないこと、ペアリングコードで利用者を登録すること、非rootで動かすこと、~/.hermes/.envをchmod 600にすること。公式の配備チェックリストには、この順で並んでいます¹⁹。

供給網にも目を向ける。 スキルやプラグイン、MCPサーバーは、他人が書いたコードや指示をエージェントに読み込ませる行為です。Hermesはhermes skills installの際にセキュリティスキャンを走らせ、プラグインには第1段階のスキャンを入れ、実際に上流が侵害された「Blender MCP」のカタログ項目とスキルを削除した記録が変更履歴に残っています³。さらに、AGENTS.mdなどの指示ファイルにプロンプトインジェクションの痕跡があれば読み込みを止め、2026年5月のmistralaiパッケージ汚染のような既知の汚染バージョンが環境にあれば起動時に警告します¹⁹。ここは利用者側の習慣としては「hermes updateを定期的に実行する」「hermes doctorの警告を無視しない」の二つに集約されます。

もう一つ、地味ですが重要な機能があります。v0.21.0で、選択したモデルが利用者のデータで学習を行う種類のものである場合、あらゆる選択画面で警告が出るようになりました³。Metaの「contributor」階層のように、安さの代わりにプロンプトが学習に使われるモデルは実在します⁸。警告が出たら、機密性のある用途では選ばないこと。それだけで防げる事故です。

どのデータを、どこまで渡すか

設定の話を終えて、最後に判断の話をします。ここまで読んで、「結局、社内のデータをFireworksに送っていいのか」という疑問が残っているはずです。私の答えは「データの種類で分ける」です。

一つ目は、公開情報と、漏れても困らないデータです。公開されている技術文書の要約、オープンソースのコードの読解、一般的な調査。これはFireworksのグローバルなサーバレスで構いません。ゼロデータ保持の表明があり、単価は最上位モデルの数十分の1です。ここでケチって高いモデルを使う理由はありません。

二つ目は、社内の一般的な業務データです。議事録、社内手順、顧客名の入らない資料。ここは会社の方針次第ですが、少なくとも「処理場所が世界中に分散する」ことを、担当者が知ったうえで判断すべきです。米国内に限定したければUS-only Serverlessが50%増しで使えます¹⁴。取引先との契約に「データの処理場所」の条項があるなら、そこが判断基準になります。

三つ目は、機密情報です。図面、未公開の財務情報、顧客の個人データ、取引先から預かった情報。ここはグローバルなサーバレスに送るべきではない、というのが私の立場です。理由は法律というより、取引先審査や契約、そして外国政府が国外サーバのデータに手を伸ばせるかで書いたような制度の非対称性にあります。選択肢は三つあります。Fireworksの東京リージョンに専用デプロイメントを立てること（1.5倍の料金と割り当ての申請が必要です）。さくらのAI Engineのような国内で完結する推論サービスを使うこと。あるいは、リコージャパンのキットやNVIDIA DGX Sparkのような機器で手元で動かすことです。NVIDIAのブログによれば、Qwen 3.6の35Bモデルは約20GBのメモリで動き、DGX Sparkは128GBの統合メモリで1,200億パラメータのモデルを終日動かせます⁶。Hermes AgentはOllamaやLM Studioを標準でサポートしているので、設定上の壁は高くありません⁸。

ローカルで動かすときの弱点も、前回の記事で書いたとおりです。ウェブ検索やツール連携の品質、応答速度、そして運用する人の時間。正直なところ、機密でない作業までローカルに寄せると、遅さで使われなくなります。だから「分ける」のです。同じHermes Agentから、/model一つで安い外部モデルと国内のモデルを切り替える。この構成が、私がいま一番現実的だと考えているものです。

当社がZEROCKで取り組んでいるのも、この「分ける」を組織として運用する仕組みです。エージェントとモデルの間にゲートウェイを置き、データの種別ごとに送り先を国内か国外か、どのモデルかを一か所で決める仕組みです。利用者はbase_urlを書き換えるだけで、Hermes Agentのようなオープンソースのエージェントからそのまま使えます。個々の利用者の良識に頼らず、会社の方針を設定として実装すること。それがエンタープライズでオープンウェイトを使う条件だと思っています。詳しくはZEROCKのページをご覧ください。

まとめ

Hermes Agentは、無料で、モデルを選ばず、どこでも動くエージェントです。しかし「安全に」という条件を付けた瞬間、やるべきことは明確になります。承認モードを既定のままにすること。ターミナルをDockerで隔離すること。egressプロキシで本物の鍵を隠すこと。ゲートウェイに許可リストを付けること。更新を怠らないこと。そして、Fireworksのゼロデータ保持は「学習に使わない、保存しない」の表明であって「国内で処理する」の意味ではないと理解したうえで、データの種類ごとに送り先を分けることです。

今日やるなら、まず自分のPCで、公開情報だけを使って、localバックエンドのまま1時間触ってみてください。エージェントが何をするかを体で分かってから、dockerに切り替え、社内データに触れさせてください。その順番を守るだけで、大半の事故は防げます。オープンウェイトモデルと社内データの線引きを一緒に設計したい方は、個別相談でお話ししましょう。

Footnotes

1. 「RICOH オンプレLLMスターターキット」エッジモデルに自己改善型AIエージェント「Hermes Agent」を搭載（リコージャパン株式会社、2026年9月10日） ↩ ↩²

2. NousResearch/hermes-agent README（GitHub、2026年9月12日取得。スター244,608・フォーク50,705・MIT） ↩ ↩² ↩³ ↩⁴ ↩⁵

3. Hermes Agent Releases: v0.21.0（2026年8月31日）・v0.21.2（2026年9月11日）（GitHub） ↩ ↩² ↩³

4. Hermes agent maker Nous Research in talks for new funding at $1.5B valuation（TechCrunch、2026年7月13日） ↩

5. Nous Portal — Plans（Nous Research、2026年9月12日取得） ↩

6. Hermes が NVIDIA RTX PC と DGX Spark を活用した自己改善型 AI エージェントを実現（NVIDIA Japan Blog、2026年5月22日） ↩ ↩²

7. Hugging Faceの各モデルカードとLICENSEファイル（2026年9月12日取得）: deepseek-ai/DeepSeek-V4-Flash-0731、Qwen/Qwen3.8-27B、openai/gpt-oss-120b、google/gemma-4-31B-it、zai-org/GLM-5.3 LICENSE、moonshotai/Kimi-K3 LICENSE、nvidia/NVIDIA-Nemotron-3.5-Lightning-30B-A3B-BF16 ↩

8. LLM and Model Providers — Hermes Agent Docs（Nous Research） ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

9. Announcing our Series D and $1B ARR（Fireworks AI、2026年7月15日） ↩

10. Serverless Pricing（Fireworks AI Docs、2026年9月12日取得） および Pricing（Fireworks AI） ↩ ↩² ↩³

11. Zero Data Retention — Data retention policies at Fireworks（Fireworks AI Docs） ↩ ↩²

12. Data Security（Fireworks AI Docs） ↩

13. Regions（Fireworks AI Docs） ↩

14. US-only Serverless（Fireworks AI Docs） および Data residency（Fireworks AI Docs） ↩ ↩²

15. Hermes Agent Quickstart — Hermes Agent Docs（Nous Research） ↩ ↩² ↩³ ↩⁴

16. さくらのAI Engine（さくらインターネット） ↩

17. OWASP Top 10 for Agentic Applications 2026（OWASP Gen AI Security Project、2025年12月） ↩

18. Chinese-Speaking Threat Actor Harnesses AI Models for Autonomous Cyberattacks（Palo Alto Networks Unit 42、2026年7月30日） ↩ ↩²

19. Security — Hermes Agent User Guide（Nous Research） ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸

20. Egress credential-injection proxy (iron-proxy) — Hermes Agent Docs（Nous Research） ↩