누스리서치, 헤르메스 플러그인 카탈로그 공개

공식 4개는 성격이 뚜렷해요. 회사 설명에 따르면 snyk 플러그인은 Snyk 의 자체 MCP 서버를 통해 코드와 의존성, 컨테이너 이미지, 인프라 코드를 검사하고, touchdesigner 플러그인은 MCP 서버로 실행 중인 TouchDesigner 세션을 조종해요. hermes-telegram-business 는 텔레그램 비즈니스 모드용 비서 봇인데, 고객에게 보낼 답장 초안을 전부 주인이 승인해야 발송돼요. hermes-memory-wiki 는 로컬 세션 기록에서 뽑은 주제 페이지와 일별 로그를 대시보드 탭으로 보여 주고, 영구 메모리 파일을 읽기 전용으로 점검하는 패널을 붙여요. 메탈은 누스리서치가 헤르메스 비즈니스와 엔터프라이즈를 발표한 일을 보도한 바 있는데, 공식 플러그인 넷 가운데 셋이 보안 검사와 승인 절차, 감사 패널이라는 점이 그 흐름과 맞물려요.

커뮤니티 쪽은 숫자로 보면 더 넓어요. 메탈이 확인한 카탈로그 페이지에서 가장 많은 별을 받은 것은 여러 검색 공급자를 묶은 web-search-plus 로 402개이고, 메모리 대시보드 mnemosyne-dashboard 가 215개, 에이전트가 자기 작업을 기억하고 후임 모델을 훈련한다는 icarus 가 148개예요. 분류별로는 전문 도구가 26개로 가장 많고 데스크톱 개조 23개, 메시징 플랫폼 15개, 메모리 10개, 웹 검색 10개, 훅과 유틸리티 10개, 음성 5개, 자동화 5개, 추론 공급자 1개예요. 마인크래프트 서버에 봇으로 들어가 플레이어와 에이전트 사이의 채팅을 중계하는 플러그인, 다빈치 리졸브를 조종하는 도구 14개짜리 플러그인, 학술 논문 2억 5천만 건을 검색하는 OpenAlex 플러그인, 메타마스크 지갑을 승인 절차 뒤에서 다루는 플러그인까지 올라와 있어요.

변호사 눈으로 이 카탈로그를 읽으면 목록보다 규칙이 먼저 보여요. 회사 문서에 따르면 카탈로그는 헤르메스 에이전트 저장소 안에 커밋 해시로 고정된 큐레이션 목록이고, 플러그인을 이름만으로 설치하면 그 항목이 가리키는 저장소의 고정된 커밋으로 풀리며 출처가 기록돼요. 저장소 이름이나 깃 주소를 직접 적어 설치하면 카탈로그를 거치지 않고 검토되지 않은 사용자 지정 출처로 표시돼요. 문서는 등재와 감사를 분명히 갈라요. 누스리서치는 "카탈로그 등재는 항목의 메타데이터와 선언된 권한이 등록 시점에 검토됐다는 뜻이지, 코드 감사가 아니다" 라고 적었어요. 그래서 설치해도 기본은 비활성이고, 켜는 것은 별도의 명시적 단계이며, 내장 도구를 덮어쓰는 권한은 또 따로 허락을 받아야 해요.

권한 체계도 계약처럼 짜여 있어요. 플러그인은 매니페스트에 내장 도구 덮어쓰기나 모델 선택 같은 권한을 선언하고, 설치나 활성화 때 한 줄 위험 설명과 함께 한 번만 동의를 묻고, 동의 내역은 해시와 시각과 함께 기록돼요. 업데이트로 새 권한이 추가되면 다시 묻고, 동의 전까지 새 권한은 꺼져 있어요. 터미널 없이 돌리는 비대화형 설치에서는 설치는 끝나지만 권한은 부여되지 않아요. 문서는 이 장치가 격리가 아니라 동의와 감사 계층이라고 못 박아요. 플러그인은 프로세스 안에서 도는 보통의 파이썬 코드라 악의적인 플러그인은 모든 관문을 무시할 수 있고, 권한을 준다는 것은 작성자를 신뢰한다는 진술이지 코드 감사가 아니라는 설명이에요.

설치 단계에는 정적 보안 검사가 붙어요. 회사에 따르면 설치와 업데이트 때마다 플러그인 트리 전체를 훑어 자격증명 저장소 유출, 리버스 셸, 파괴적 명령, 지속화 장치, 난독화 실행, 문서 파일 안의 프롬프트 인젝션을 찾고, 결과는 안전과 주의와 위험 세 등급으로 나뉘어요. 주의는 확인 뒤 설치할 수 있지만 위험은 강제 옵션으로도 뚫리지 않고, 업데이트에서 위험 판정이 나오면 검토 뒤 다시 켤 때까지 플러그인이 꺼져요. 문서는 이 검사가 클로드 코워크의 스킬과 플러그인 보안 검사에서 영감을 받았다고 적었어요. 메탈은 클로드 코드가 팀 설정을 플러그인 하나로 묶어 배포하는 방식을 보도한 바 있는데, 헤르메스도 플러그인 팩이라는 YAML 파일로 여러 플러그인을 40자 커밋 해시와 함께 묶어 공유하게 했어요. 팩에는 비밀값이 실리지 않고, 동의는 묶음으로 처리되지 않으며, 팩 안의 플러그인마다 권한 동의를 따로 받아요.

설치 경로는 세 갈래예요. 명령줄에서 카탈로그를 검색해 이름으로 설치하거나, 헤르메스 데스크톱의 기능 메뉴에서 카탈로그를 카드 형태로 훑어 설치하거나, 웹페이지의 링크 하나로 데스크톱 앱을 열어 설치할 수 있어요. 회사에 따르면 데스크톱과 공개 카탈로그는 같은 CDN 스냅샷을 읽고, 훑어보기 단계에서는 깃허브를 실시간으로 조회하지 않으며, 링크는 확인 대화상자를 띄울 뿐 절대 자동으로 설치하지 않아요. 플러그인이 건드릴 수 있는 수명 주기 이벤트는 27개이고, 플러그인 종류는 일반 플러그인과 메모리 공급자, 컨텍스트 엔진, 모델 공급자 넷으로 나뉘어요. 메탈은 헤르메스 에이전트가 쓸수록 스스로 스킬을 만든다는 점을 보도한 바 있어요. 그 에이전트가 이제 남이 만든 코드를 어떤 조건으로 받아들일지에 대한 규칙집을 갖게 됐고, 카탈로그 첫날 105개라는 숫자보다 그 규칙집이 이 발표의 본체예요.