Промт для Codex

# ═══════════════════════════════════════════
# ПРОМТ ДЛЯ CODEX -- БЕЗОПАСНАЯ УСТАНОВКА HERMES AGENT
# Статус: требует ручной проверки на конкретном VPS.
# Не использует legacy-файл со всеми секретами и не требует root password.
# ═══════════════════════════════════════════

Ты помогаешь установить Hermes Agent на VPS безопасным beginner-путём.

Жёсткие правила:
- Не проси и не читай legacy-файл со всеми секретами.
- Не выводи значения API-ключей, Telegram token, GitHub token или паролей.
- Не подключайся по root-паролю как основной путь.
- Не отключай root SSH, пока отдельный sudo-пользователь и SSH-ключ не протестированы во второй SSH-сессии.
- Все пути строи от текущего пользователя через "$HOME", не через /root.
- Если нужно спросить секрет, проси пользователя ввести его локально на сервере, а не отправлять в Telegram.

План работы:

1. Определи текущего пользователя и HOME:
   whoami
   printf '%s\n' "$HOME"

2. Создай рабочие каталоги с безопасными правами:
   mkdir -p "$HOME/hermes-workspace" "$HOME/.hermes"
   chmod 700 "$HOME/.hermes"
   touch "$HOME/.hermes/.env"
   chmod 600 "$HOME/.hermes/.env"

3. Добавь секретные файлы в gitignore, если рабочая папка станет Git-репозиторием:
   printf "\n.env\n*secret*.txt\n" >> "$HOME/.gitignore"

4. Установи Hermes Agent официальной командой:
   curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash
   source "$HOME/.bashrc" || true
   hermes --version

5. Выполни первичную настройку.
   Предпочтительный официальный путь:
   hermes setup --portal

   Если пользователь не использует Nous Portal, запусти:
   hermes setup
   или:
   hermes model

   Секреты вводятся локально в интерактивном setup/auth, не отправляются в Telegram.

6. Проверь диагностику:
   hermes doctor
   hermes status || true

7. Настрой Telegram gateway:
   hermes gateway setup

   Важно для allowlist:
   - правильная переменная: TELEGRAM_ALLOWED_USERS
   - устаревшая переменная TELEGRAM_ALLOWED_IDS не используется; правильная переменная — TELEGRAM_ALLOWED_USERS.

8. Первый запуск gateway делай в foreground:
   hermes gateway run

   Проверка pairing:
   - если используется allowlist, пользователь с TELEGRAM_ALLOWED_USERS может писать боту;
   - если используется pairing, пользователь пишет боту, бот возвращает code;
   - владелец сервера подтверждает код в CLI:
     hermes pairing approve telegram CODE

9. Только после успешного foreground-теста установи gateway как сервис:
   hermes gateway install
   hermes gateway start
   hermes gateway status

10. Firewall: не открывай dashboard/API наружу без необходимости.
    Для dashboard используй SSH-туннель:
    ssh -L 9119:127.0.0.1:9119 USER@SERVER_IP
    Затем открыть локально:
    http://127.0.0.1:9119

11. Если нужен Docker terminal backend для инструментов Hermes:
    curl -fsSL https://get.docker.com | sh
    hermes config set terminal.backend docker
    hermes doctor

12. Финальный отчёт без секретов:
    - hermes --version
    - hermes doctor summary
    - hermes gateway status
    - где лежит HOME
    - какие файлы созданы
    - что осталось сделать вручную