+ 
**The self-improving AI agent built by [Nous Research](https://nousresearch.com).** It's the only agent with a built-in learning loop — it creates skills from experience, improves them during use, nudges itself to persist knowledge, searches its own past conversations, and builds a deepening model of who you are across sessions. Run it on a $5 VPS, a GPU cluster, or serverless infrastructure that costs nearly nothing when idle. It's not tied to your laptop — talk to it from Telegram while it works on a cloud VM.
diff --git a/README.pt-BR.md b/README.pt-BR.md
new file mode 100644
index 000000000000..abc17f86f89e
--- /dev/null
+++ b/README.pt-BR.md
@@ -0,0 +1,196 @@
+
+ 
+
+ 
| Interface de terminal de verdade | TUI completa com edição multilinha, autocompletar de slash commands, histórico de conversa, interromper-e-redirecionar e saída de ferramenta em streaming. |
| Vive onde você está | Telegram, Discord, Slack, WhatsApp, Signal e CLI — tudo a partir de um único processo de gateway. Transcrição de mensagem de voz, continuidade de conversa entre plataformas. |
| Loop de aprendizado fechado | Memória curada pelo agente com lembretes periódicos. Criação autônoma de habilidades depois de tarefas complexas. Habilidades se aprimoram durante o uso. Busca de sessão FTS5 com sumarização por LLM para resgate entre sessões. Modelagem dialética de usuário com Honcho. Compatível com o padrão aberto agentskills.io. |
| Automações agendadas | Agendador cron embutido com entrega para qualquer plataforma. Relatórios diários, backups noturnos, auditorias semanais — tudo em linguagem natural, rodando sem supervisão. |
| Delega e paraleliza | Cria subagentes isolados para fluxos de trabalho paralelos. Escreva scripts Python que chamam ferramentas via RPC, comprimindo pipelines de múltiplos passos em turnos com custo de contexto zero. |
| Roda em qualquer lugar, não só no seu notebook | Sete backends de terminal — local, Docker, SSH, Singularity, Modal, Daytona e Vercel Sandbox. Daytona e Modal oferecem persistência serverless — o ambiente do seu agente hiberna quando ocioso e acorda sob demanda, custando quase nada entre sessões. Roda num VPS de $5 ou num cluster de GPU. |
| Pronto para pesquisa | Geração em lote de trajetórias, ambientes de RL Atropos, compressão de trajetórias para treinar a próxima geração de modelos com tool calling. |
+
**由 [Nous Research](https://nousresearch.com) 构建的自进化 AI 代理。** 它是唯一内置学习闭环的智能代理——从经验中创建技能，在使用中改进技能，主动持久化知识，搜索过往对话，并在跨会话中逐步构建对你的深度理解。可以在 $5 的 VPS 上运行，也可以在 GPU 集群上运行，或者使用几乎零成本的 Serverless 基础设施。它不绑定你的笔记本——你可以在 Telegram 上与它对话，而它在云端 VM 上工作。
diff --git a/tests/tools/test_local_env_blocklist.py b/tests/tools/test_local_env_blocklist.py
index e3e7c310c5e3..898e93d1f713 100644
--- a/tests/tools/test_local_env_blocklist.py
+++ b/tests/tools/test_local_env_blocklist.py
@@ -299,6 +299,73 @@ def test_gateway_runtime_vars_are_in_blocklist(self):
assert extras.issubset(_HERMES_PROVIDER_ENV_BLOCKLIST)
+class TestCloudCredentialBlocklist:
+ """Cloud provider credentials must not leak into subprocess env."""
+
+ def test_aws_credentials_blocked(self):
+ aws_vars = {
+ "AWS_ACCESS_KEY_ID": "AKIAIOSFODNN7EXAMPLE",
+ "AWS_SECRET_ACCESS_KEY": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
+ "AWS_SESSION_TOKEN": "session-token-value",
+ "AWS_SECURITY_TOKEN": "security-token-value",
+ }
+ result_env = _run_with_env(extra_os_env=aws_vars)
+ for var in aws_vars:
+ assert var not in result_env, f"{var} leaked into subprocess env"
+
+ def test_azure_credentials_blocked(self):
+ azure_vars = {
+ "AZURE_CLIENT_SECRET": "azure-secret",
+ "AZURE_CLIENT_ID": "azure-client-id",
+ "AZURE_TENANT_ID": "azure-tenant-id",
+ }
+ result_env = _run_with_env(extra_os_env=azure_vars)
+ for var in azure_vars:
+ assert var not in result_env, f"{var} leaked into subprocess env"
+
+ def test_gcp_and_infra_credentials_blocked(self):
+ infra_vars = {
+ "GOOGLE_APPLICATION_CREDENTIALS": "/path/to/key.json",
+ "KUBECONFIG": "/home/user/.kube/config",
+ "DOCKER_HOST": "tcp://localhost:2376",
+ "DOCKER_CERT_PATH": "/home/user/.docker/certs",
+ "NPM_TOKEN": "npm_token_value",
+ "PYPI_TOKEN": "pypi-token-value",
+ "SSH_AUTH_SOCK": "/run/user/1000/ssh-agent.socket",
+ "GPG_AGENT_INFO": "/run/user/1000/gnupg/S.gpg-agent:0:1",
+ }
+ result_env = _run_with_env(extra_os_env=infra_vars)
+ for var in infra_vars:
+ assert var not in result_env, f"{var} leaked into subprocess env"
+
+ def test_cloud_creds_in_blocklist_constant(self):
+ cloud_vars = {
+ "AWS_ACCESS_KEY_ID", "AWS_SECRET_ACCESS_KEY",
+ "AWS_SESSION_TOKEN", "AWS_SECURITY_TOKEN",
+ "AZURE_CLIENT_SECRET", "AZURE_CLIENT_ID", "AZURE_TENANT_ID",
+ "GOOGLE_APPLICATION_CREDENTIALS", "KUBECONFIG",
+ "DOCKER_HOST", "DOCKER_CERT_PATH",
+ "NPM_TOKEN", "PYPI_TOKEN",
+ "SSH_AUTH_SOCK", "GPG_AGENT_INFO",
+ }
+ assert cloud_vars.issubset(_HERMES_PROVIDER_ENV_BLOCKLIST)
+
+
+class TestGitHardeningVars:
+ """GIT_TERMINAL_PROMPT must be set to 0 in all subprocess envs."""
+
+ def test_git_terminal_prompt_set_to_zero(self):
+ result_env = _run_with_env()
+ assert result_env.get("GIT_TERMINAL_PROMPT") == "0", (
+ "GIT_TERMINAL_PROMPT must be '0' to disable git credential prompts"
+ )
+
+ def test_git_terminal_prompt_not_overrideable_from_os(self):
+ """User env GIT_TERMINAL_PROMPT=1 must be overridden by hardening."""
+ result_env = _run_with_env(extra_os_env={"GIT_TERMINAL_PROMPT": "1"})
+ assert result_env.get("GIT_TERMINAL_PROMPT") == "0"
+
+
class TestSanePathIncludesHomebrew:
"""Verify _SANE_PATH includes macOS Homebrew directories."""
diff --git a/tools/environments/local.py b/tools/environments/local.py
index 985bf4bdce87..a80b844ed38c 100644
--- a/tools/environments/local.py
+++ b/tools/environments/local.py
@@ -133,6 +133,22 @@ def _build_provider_env_blocklist() -> frozenset:
"MODAL_TOKEN_ID",
"MODAL_TOKEN_SECRET",
"DAYTONA_API_KEY",
+ # Cloud provider credentials
+ "AWS_ACCESS_KEY_ID",
+ "AWS_SECRET_ACCESS_KEY",
+ "AWS_SESSION_TOKEN",
+ "AWS_SECURITY_TOKEN",
+ "AZURE_CLIENT_SECRET",
+ "AZURE_CLIENT_ID",
+ "AZURE_TENANT_ID",
+ "GOOGLE_APPLICATION_CREDENTIALS",
+ "KUBECONFIG",
+ "DOCKER_HOST",
+ "DOCKER_CERT_PATH",
+ "NPM_TOKEN",
+ "PYPI_TOKEN",
+ "SSH_AUTH_SOCK",
+ "GPG_AGENT_INFO",
"VERCEL_OIDC_TOKEN",
"VERCEL_TOKEN",
"VERCEL_PROJECT_ID",
@@ -144,6 +160,12 @@ def _build_provider_env_blocklist() -> frozenset:
_HERMES_PROVIDER_ENV_BLOCKLIST = _build_provider_env_blocklist()
+# Git hardening: disable credential prompts in all subprocesses.
+_GIT_HARDENING_VARS = {
+ "GIT_TERMINAL_PROMPT": "0",
+}
+
+
def _sanitize_subprocess_env(base_env: dict | None, extra_env: dict | None = None) -> dict:
"""Filter Hermes-managed secrets from a subprocess environment."""
try:
@@ -172,6 +194,8 @@ def _sanitize_subprocess_env(base_env: dict | None, extra_env: dict | None = Non
if _profile_home:
sanitized["HOME"] = _profile_home
+ # Apply git hardening: disable credential prompts in subprocesses
+ sanitized.update(_GIT_HARDENING_VARS)
return sanitized
@@ -274,6 +298,8 @@ def _make_run_env(env: dict) -> dict:
if _profile_home:
run_env["HOME"] = _profile_home
+ # Apply git hardening: disable credential prompts in subprocesses
+ run_env.update(_GIT_HARDENING_VARS)
return run_env
diff --git a/website/docusaurus.config.ts b/website/docusaurus.config.ts
index 6d6904d6cbfa..5b12a8c86ba7 100644
--- a/website/docusaurus.config.ts
+++ b/website/docusaurus.config.ts
@@ -24,7 +24,7 @@ const config: Config = {
i18n: {
defaultLocale: 'en',
- locales: ['en', 'zh-Hans'],
+ locales: ['en', 'zh-Hans', 'pt-BR'],
localeConfigs: {
en: {
label: 'English',
@@ -33,6 +33,10 @@ const config: Config = {
label: '简体中文',
htmlLang: 'zh-Hans',
},
+ 'pt-BR': {
+ label: 'Português (Brasil)',
+ htmlLang: 'pt-BR',
+ },
},
},
diff --git a/website/i18n/pt-BR/docusaurus-plugin-content-docs/current/user-guide/features/image-generation.md b/website/i18n/pt-BR/docusaurus-plugin-content-docs/current/user-guide/features/image-generation.md
new file mode 100644
index 000000000000..e67cbfaf0578
--- /dev/null
+++ b/website/i18n/pt-BR/docusaurus-plugin-content-docs/current/user-guide/features/image-generation.md
@@ -0,0 +1,156 @@
+---
+title: Geração de Imagens
+description: Gere imagens via FAL.ai — 9 modelos incluindo FLUX 2, GPT Image (1.5 e 2), Nano Banana Pro, Ideogram, Recraft V4 Pro e mais, selecionáveis em `hermes tools`.
+sidebar_label: Geração de Imagens
+sidebar_position: 6
+---
+
+# Geração de Imagens
+
+O Hermes Agent gera imagens a partir de prompts de texto via FAL.ai. Nove modelos são suportados de fábrica, cada um com diferentes trade-offs de velocidade, qualidade e custo. O modelo ativo é configurável pelo usuário via `hermes tools` e fica persistido em `config.yaml`.
+
+## Modelos Suportados
+
+| Modelo | Velocidade | Pontos fortes | Preço |
+|---|---|---|---|
+| `fal-ai/flux-2/klein/9b` *(padrão)* | `<1s` | Rápido, texto nítido | $0,006/MP |
+| `fal-ai/flux-2-pro` | ~6s | Fotorrealismo de estúdio | $0,03/MP |
+| `fal-ai/z-image/turbo` | ~2s | Bilíngue EN/CN, 6B parâmetros | $0,005/MP |
+| `fal-ai/nano-banana-pro` | ~8s | Gemini 3 Pro, raciocínio profundo, renderização de texto | $0,15/imagem (1K) |
+| `fal-ai/gpt-image-1.5` | ~15s | Aderência ao prompt | $0,034/imagem |
+| `fal-ai/gpt-image-2` | ~20s | Renderização de texto SOTA + CJK, fotorrealismo com noção de mundo | $0,04–0,06/imagem |
+| `fal-ai/ideogram/v3` | ~5s | Melhor tipografia | $0,03–0,09/imagem |
+| `fal-ai/recraft/v4/pro/text-to-image` | ~8s | Design, sistemas de marca, pronto pra produção | $0,25/imagem |
+| `fal-ai/qwen-image` | ~12s | Baseado em LLM, texto complexo | $0,02/MP |
+
+Os preços são da FAL no momento desta escrita; consulte [fal.ai](https://fal.ai/) para os valores atuais.
+
+## Setup
+
+:::tip Assinantes Nous
+Se você tem uma assinatura paga do [Nous Portal](https://portal.nousresearch.com), pode usar geração de imagens pelo **[Tool Gateway](tool-gateway.md)** sem chave de API da FAL. Sua escolha de modelo persiste nos dois caminhos.
+
+Se o gateway gerenciado retornar `HTTP 4xx` para um modelo específico, esse modelo ainda não está sendo proxiado pelo lado do portal — o agente vai te avisar, com passos de remediação (defina `FAL_KEY` para acesso direto, ou escolha outro modelo).
+:::
+
+### Obtenha uma chave de API da FAL
+
+1. Cadastre-se em [fal.ai](https://fal.ai/)
+2. Gere uma chave de API no seu dashboard
+
+### Configure e escolha um modelo
+
+Rode o comando de tools:
+
+```bash
+hermes tools
+```
+
+Navegue até **🎨 Image Generation**, escolha seu backend (Nous Subscription ou FAL.ai) e o seletor mostra todos os modelos suportados numa tabela alinhada por colunas — setas pra navegar, Enter pra selecionar:
+
+```
+ Modelo Velocidade Pontos fortes Preço
+ fal-ai/flux-2/klein/9b <1s Rápido, texto nítido $0,006/MP ← em uso
+ fal-ai/flux-2-pro ~6s Fotorrealismo de estúdio $0,03/MP
+ fal-ai/z-image/turbo ~2s Bilíngue EN/CN, 6B $0,005/MP
+ ...
+```
+
+Sua seleção é salva em `config.yaml`:
+
+```yaml
+image_gen:
+ model: fal-ai/flux-2/klein/9b
+ use_gateway: false # true se estiver usando Nous Subscription
+```
+
+### Qualidade do GPT-Image
+
+A qualidade da requisição em `fal-ai/gpt-image-1.5` e `fal-ai/gpt-image-2` está fixada em `medium` (~$0,034–$0,06/imagem em 1024×1024). Não expomos os tiers `low` / `high` como opção visível ao usuário pra que o billing do Nous Portal fique previsível pra todo mundo — a diferença de custo entre tiers é de 3–22×. Se quiser uma opção mais barata, escolha Klein 9B ou Z-Image Turbo; se quiser maior qualidade, use Nano Banana Pro ou Recraft V4 Pro.
+
+## Uso
+
+O schema voltado pro agente é intencionalmente minimalista — o modelo pega o que você configurou:
+
+```
+Gere uma imagem de uma paisagem montanhosa serena com cerejeiras em flor
+```
+
+```
+Crie um retrato quadrado de uma coruja velha e sábia — use o modelo de tipografia
+```
+
+```
+Faz uma cidade futurista, orientação landscape
+```
+
+## Proporções (Aspect Ratios)
+
+Todo modelo aceita as mesmas três proporções da perspectiva do agente. Internamente, a especificação nativa de tamanho de cada modelo é preenchida automaticamente:
+
+| Entrada do agente | image_size (flux/z-image/qwen/recraft/ideogram) | aspect_ratio (nano-banana-pro) | image_size (gpt-image-1.5) | image_size (gpt-image-2) |
+|---|---|---|---|---|
+| `landscape` | `landscape_16_9` | `16:9` | `1536x1024` | `landscape_4_3` (1024×768) |
+| `square` | `square_hd` | `1:1` | `1024x1024` | `square_hd` (1024×1024) |
+| `portrait` | `portrait_16_9` | `9:16` | `1024x1536` | `portrait_4_3` (768×1024) |
+
+GPT Image 2 mapeia pra presets 4:3 em vez de 16:9 porque sua contagem mínima de pixels é 655.360 — o preset `landscape_16_9` (1024×576 = 589.824) seria rejeitado.
+
+Essa tradução acontece em `_build_fal_payload()` — o código do agente nunca precisa saber as diferenças de schema por modelo.
+
+## Upscaling Automático
+
+O upscaling via **Clarity Upscaler** da FAL é controlado por modelo:
+
+| Modelo | Upscale? | Por quê |
+|---|---|---|
+| `fal-ai/flux-2-pro` | ✓ | Compatibilidade pra trás (era o padrão antes do seletor) |
+| Todos os outros | ✗ | Modelos rápidos perderiam o valor de subsegundos; modelos hi-res não precisam |
+
+Quando o upscaling roda, ele usa estas configurações:
+
+| Configuração | Valor |
+|---|---|
+| Fator de upscale | 2× |
+| Criatividade | 0,35 |
+| Resemblance | 0,6 |
+| Escala de guidance | 4 |
+| Passos de inferência | 18 |
+
+Se o upscaling falhar (problema de rede, rate limit), a imagem original é retornada automaticamente.
+
+## Como Funciona Internamente
+
+1. **Resolução do modelo** — `_resolve_fal_model()` lê `image_gen.model` do `config.yaml`, faz fallback pra variável de ambiente `FAL_IMAGE_MODEL` e depois pra `fal-ai/flux-2/klein/9b`.
+2. **Construção do payload** — `_build_fal_payload()` traduz seu `aspect_ratio` pro formato nativo do modelo (preset enum, enum de aspect-ratio ou literal do GPT), mescla os parâmetros padrão do modelo, aplica overrides do chamador e depois filtra pela whitelist `supports` do modelo, então chaves não suportadas nunca são enviadas.
+3. **Submissão** — `_submit_fal_request()` roteia via credenciais diretas da FAL ou pelo gateway gerenciado da Nous.
+4. **Upscaling** — só roda se o metadata do modelo tiver `upscale: True`.
+5. **Entrega** — URL final da imagem retornada ao agente, que emite uma tag `MEDIA: