hermes-agent surgical 도입 — Phase 1~6 종합 retrospective (2026-05-07)

Executive summary

지표	수치
기간	2026-05-07 단일 날짜 (8시간 sprint)
Phase	6
Track	7 (A/B/C/D/E/F/G)
변경 파일	12 (신규 5 + 수정 7)
변경 LOC	860 (Phase 14: ~700 + Phase 5: ~310 + Phase 6: ~150)
Done Criteria	47 (Phase 1~5: 39 + Phase 6: 8)
PASS rate	100% (Phase 6 정밀점검 후 fix 5건 반영)
트레이딩 영향	0 (gate-pair-hedge / gunja-pair-hedge / multi-tenant active 유지)
UFW 변경	0
DB DROP	0 (테이블 신규 2 + 인덱스 3 + 컬럼 metadata.slug 8건만)
재부팅	0
LLM 비용	<$0.30 (검증 호출만, cost_events 누적)
Gemini 평가	10/9/9/9 PASS (Phase 1~4)

hermes-agent v0.12 격차 매트릭스 → 도입 결과

hermes 자산	직전 paperclip	격차	도입 Phase	결과
OSV malware check	없음	🔴	Phase 2 + Phase 5 install hook	✅ 5서버 stdlib only
자연어 cron scheduler	systemd timer 코드 변경 필요	🔴	Phase 3	✅ ceo.star365.site/cron UI
메시징 게이트웨이 (Discord)	mco-bot Telegram only	🔴	Phase 4	✅ Spidey Bot 채널
GitHub webhook 자동 트리거	없음	🔴	Phase 5	✅ HMAC + paperclip issues 자동
Subagent 격리 표준	없음	🟡	Phase 5	✅ depth=2 + 13 시크릿 redaction
OpenAI 호환 API server	없음	🔴	Phase 6	✅ /v1/* HTTPS 외부 노출
Skills Hub agentskills.io	/learn 자체	🟢	—	보류 (현 운영 충분)
메모리 백엔드 다양화	단일 백엔드	🟢	—	보류

도입율: 6/8 (75%) — 보류 2건은 "현 자산 충분"으로 결정

Phase 별 자산 인벤토리

Phase 2 — OSV malware check

• /opt/star365-hq/scripts/osv-check.py (175 LOC, stdlib only, sha 1dd80ebb...)
• 5서버 동기 (paperclip + kahan + hospital + kahanclub + stage8)
• CLI: --dry-run --json --help
• 실 검출 검증: @ctrl/tinycolor@4.1.1 → MAL-2025-47141

Phase 3 — 자연어 cron UI

• /opt/star365-ceo/public/cron.html (Alpine.js + Tailwind)
• /opt/star365-ceo/server.mjs /api/cron/* (4 endpoint)
• DB ceo_cron_jobs 테이블
• xAI/Gemini/Groq cascade + deterministic regex fallback
• systemd-analyze verify + calendar
• rate limit 20/min, 위험 명령/프롬프트 인젝션 가드

Phase 4 — Discord 채널

• /opt/mco-bot/discord.mjs (kahan, 41 LOC)
• sendToBlog Promise.allSettled 병렬 (Telegram + Discord)
• Spidey Bot webhook 활성 (kahan ecosystem.kahan.json env)
• WEBHOOK_URL 미설정 graceful skip

Phase 5 — Subagent 격리 + OSV install hook + GitHub webhook

• /opt/star365-hq/agent-runner/isolation.mjs (64 LOC, 13 시크릿 패턴)
• runner.mjs 3 hook point (depth check, payload isolation, output redact)
• /opt/star365-hq/scripts/safe-install.sh (76 LOC, 5서버 sha 동일)
• POST /api/github/webhook (HMAC SHA-256 + timingSafeEqual)
• DB github_webhook_events 테이블 (idempotent delivery_id)
• issues.opened → paperclip issues INSERT (uq_issues_github_origin partial unique)
• push.main → paperclip 직접 Telegram + Discord (UFW 우회)

Phase 6 — OpenAI 호환 API bridge

• /opt/star365-ceo/server.mjs /v1/models + /v1/chat/completions (+150 LOC)
• DB agents.metadata.slug 8건 + uq_agents_slug
• ENV OPENAI_BRIDGE_KEY (sk-paperclip-... random hex)
• Bearer timing-safe 인증, rate limit 30/min, max_tokens 4096 cap
• multi-turn 정확 처리, stream:true 명시 거부, X-Powered-By disable
• cost_events 자동 로깅 + agents.spent_monthly_cents UPDATE

외부 통합 가이드

1. 자연어 cron 등록 (CEO 권한)

CEO_KEY=$(cat /root/.ceo_access_key)  # paperclip 본인만

curl -X POST "https://ceo.star365.site/api/cron/create?key=$CEO_KEY" \
  -H "content-type: application/json" \
  -d '{
    "nl": "매일 09:00 5서버 헬스 체크",
    "command": "/opt/star365-hq/scripts/health-check.sh",
    "name": "daily-health",
    "deliver": ["telegram", "discord"]
  }'

응답:

{
  "ok": true,
  "job": {"id": ..., "slug": "...", "on_calendar": "*-*-* 09:00:00"},
  "llm_provider": "xai",
  "next_runs": "..."
}

2. GitHub webhook 외부 등록 (Phase 5 후속, 사용자 액션)

GitHub repo Settings → Webhooks → Add webhook:

• Payload URL: https://ceo.star365.site/api/github/webhook
• Content type: application/json
• Secret: /etc/star365-worker.env의 GITHUB_WEBHOOK_SECRET (32 bytes hex)
• Events:
  • Issues
  • Pull requests
  • Push (Just the push event)

활성화 후 PR/Issue 발생 시 paperclip이 자동:

• issues.opened → paperclip issues 테이블 INSERT (8 AI 직원 큐)
• push.main → Telegram + Discord 알림 즉시
• pull_request.opened → 로깅

3. OpenAI 호환 API 호출

Python (OpenAI SDK 그대로)

from openai import OpenAI

client = OpenAI(
    base_url="https://ceo.star365.site/v1",
    api_key="sk-paperclip-..."  # /etc/star365-worker.env OPENAI_BRIDGE_KEY
)

# 모델 목록
models = client.models.list()
for m in models.data:
    print(f"{m.id}: {m.display_name} ({m.title})")

# 인프라 본부장에게 질문
resp = client.chat.completions.create(
    model="infra-lead",
    messages=[
        {"role": "user", "content": "5서버 모니터링 핵심 지표 3개"}
    ],
    max_tokens=300
)
print(resp.choices[0].message.content)
print(f"agent: {resp._paperclip['agent_name']}")

curl (multi-turn)

BRIDGE_KEY=$(grep ^OPENAI_BRIDGE_KEY= /etc/star365-worker.env | cut -d= -f2)

curl -X POST https://ceo.star365.site/v1/chat/completions \
  -H "Authorization: Bearer $BRIDGE_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "model": "commerce-lead",
    "messages": [
      {"role": "user", "content": "매출 향상 방법은?"},
      {"role": "assistant", "content": "디지털 마케팅, 가격 최적화, 고객 retention 3가지입니다."},
      {"role": "user", "content": "디지털 마케팅 구체적으로?"}
    ],
    "max_tokens": 500
  }'

사용 가능 모델 (8 직원)

model ID	직원	전문 영역
medical-lead	의료 본부장	plus365, 진료, 건강
legal-lead	법무/IP 본부장	UpFinance prefix, 약관, 컴플라이언스
mlm-lead	MLM 본부장	stage8, MLM 운영, cap rule
commerce-lead	커머스 본부장	매출, 마케팅, 가격
media-lead	미디어 본부장	metaquant 랜딩, 콘텐츠, 채널
infra-lead	인프라 본부장	5서버, 모니터링, cert
customer-lead	고객 본부장	회원, NPS, 만족도
trading-lead	트레이딩 본부장	gate v7, gunja, Bitget

4. 8 직원 자율 작업 큐에 추가

-- paperclip DB 직접 INSERT
INSERT INTO issues (company_id, title, description, status, priority, assignee_agent_id)
SELECT 'a4497805-56ab-4868-aab3-85ba2e12a04b'::uuid,
       '제목', '설명', 'todo', 'medium', id
FROM agents WHERE company_id='a4497805-56ab-4868-aab3-85ba2e12a04b'
  AND metadata->>'slug' = 'infra-lead';

star365-agent-runner.timer (30s tick)가 자동 picking → LLM → work_product 생성 → ceo.star365.site/pending-approvals 노출.

안전 장치 (Phase 1~6 일관 적용)

• ✅ 트레이딩 0 영향 (gate/gunja-pair-hedge active 유지)
• ✅ UFW/iptables 변경 0 (paperclip→kahan 룰 부재 시 직접 송신 우회)
• ✅ DB DROP/TRUNCATE 0 (테이블 신규 2개 + 인덱스 3 + agents.metadata 8건만)
• ✅ 재부팅 0
• ✅ 트레이딩 코어 (gunja-pair-hedge/multi-tenant) restart 회피
• ✅ 모든 변경 .bak-{date} 백업 + 12 위치 키 회전 동기

발견된 함정 (메모리 7건 누적)

feedback memory	함정
feedback_express-raw-vs-json-middleware	Express raw body vs 글로벌 json 충돌
feedback_ufw-bypass-via-internal-direct-send	UFW 변경 금지 시 paperclip 직접 송신
feedback_llm-quota-deterministic-fallback	LLM cascade quota 초과 → regex fallback
feedback_pm2-reload-ecosystem-explicit	PM2 reload 명시 ecosystem 경로 필수
feedback_bridge-bearer-timing-safe	Bearer string 비교 timing attack
feedback_openai-compat-stream-multiturn	stream:true 명시 거부 + multi-turn messages 전체
feedback_external-oss-gap-analysis-first	외부 OSS 통째 도입 금지, 격차 매트릭스 먼저

거짓 PASS / 누락 자가 발견 + 수정 (정밀점검 2회)

1차 정밀점검 (Phase 1~5 후)

• issues.origin_id unique 부재 → partial unique index 추가
• 백업 파일 권한 644 → chmod 600 (4건)
• B11 LLM cascade 실 검증 (xAI 키 회전 후 PASS)
• D4 8 직원 회귀 0 실 E2E (depth=2 cancelled + work_product 생성)

2차 정밀점검 (Phase 6 후)

• Bearer timing-safe → fix
• stream:true 명시 거부 → fix
• agents.spent_monthly_cents UPDATE → fix
• X-Powered-By disable → fix
• multi-turn 정확 처리 → fix

결론

NousResearch hermes-agent v0.12 (100k+ stars, 73,073 LOC) 통째 도입 거부, 격차 매트릭스 + surgical 추출/자체 구현 패턴으로 6 phase 안전 도입. 트레이딩 무중단, 외부 OSS 종속성 최소.

현재 paperclip의 8 AI 직원이 외부에서 OpenAI SDK 표준으로 호출 가능한 상태 — https://ceo.star365.site/v1/* HTTPS 활성.

다음 가능 영역:

1. 8 AI 직원 첫 실 비즈니스 태스크 실행
2. GitHub repo 측 webhook 외부 등록 (사용자 액션)
3. 트레이딩 / stage8 / hospital wiki 다른 영역