استقرار تیمی مستر هرمس: راهنمای جامع معماری مغز مشترک، تخمین منابع و ایزوله‌سازی دسترسی‌ها

وقتی یک تیم فنی یا سازمانی تصمیم می‌گیرد از ایجنت‌های هوش مصنوعی خودمختار برای تسریع فرآیندهای توسعه، تحقیقات، تولید محتوا و اتوماسیون وظایف روزمره استفاده کند، اولین چالش کلیدی پیش رو معماری استقرار است: چطور می‌توان محیطی فراهم کرد که چند عضو به طور همزمان بدون تداخل مکالمات و کارهای یکدیگر با دستیار کار کنند، در حالی که تمام تجربیات، مهارت‌ها و دانش سازمانی در یک «مغز متمرکز» ذخیره شده و حریم خصوصی و لاگین‌های مدیر مجموعه کاملاً محفوظ بماند؟ در این مقاله تخصصی، معماری گام به گام استقرار مستر هرمس برای یک تیم ۷ نفره را بررسی می‌کنیم.

۱. بررسی صورت مسئله: چرا نباید یک اینستنس مشترک را به اشتراک گذاشت؟

ایده اولیه‌ای که به ذهن بسیاری از تیم‌ها می‌رسد این است که یک وب‌سرور هرمس روی پورت پیش‌فرض ۸۷۸۷ بالا بیاورند و آدرس آن را به همه ۷ نفر بدهند. این کار در کمتر از یک روز به شکست می‌انجامد. دلایل فنی آن عبارتند از:

• قفل شدن دیتابیس SQLite: تاریخچه نشست‌های کاری در فایلی به نام state.db ذخیره می‌شود. ارسال پرامپت‌های همزمان توسط چند نفر، خطای قفل شدن دیتابیس (Database Locked) ایجاد کرده و پیام‌ها از دست می‌روند.
• آلودگی کانتکست (Context Contamination): اگر دو نفر همزمان روی یک سشن پیام بفرستند، تاریخچه مکالمه با هم ترکیب شده و ایجنت به اشتباه پاسخ کدهای نفر اول را برای درخواست نفر دوم ارسال می‌کند.
• خطرات امنیتی شل و فایل‌ها: هرمس به ابزار ترمینال دسترسی دارد. اگر همه در یک محیط ران شوند، یک دستور اشتباه یا پاکسازی فایل توسط یک کاربر می‌تواند تمام کدهای اعضای دیگر را نابود کند.
• لو رفتن لاگین‌ها و کوکی‌ها: ابزارهای مرورگر (مانند Playwright یا کروم محلی) اگر تفکیک نشوند، کوکی‌های ثبت‌شده توسط مدیر برای سایرین نیز در دسترس خواهد بود.

۲. تخمین دقیق منابع سخت‌افزاری برای ۷ نفر

هرمس به عنوان یک ارکستریتور ایجنت عمل می‌کند و مدل‌های زبانی از طریق API (مانند 9Router، آنتروپیک یا اوپن‌ای‌آی) فراخوانی می‌شوند؛ بنابراین نیازی به کارت گرافیک گران‌قیمت یا GPU محلی روی سرور نیست. منابع مورد نیاز صرفاً برای پروسه‌های وب‌سرور، مفسر پایتون، شل لینوکس و مرورگرهای وب مصرف می‌شوند.

۳. معماری مغز مشترک (Shared Brain Architecture)

هدف اصلی این است که اگر یکی از اعضای تیم یک مهارت یا اسکریپت جدید به هرمس آموزش داد (یا مستندات تجاری جدیدی اضافه شد)، سایر ۶ نفر نیز بدون نیاز به کپی‌پیست دستی بلافاصله بتوانند از آن بهره‌مند شوند. برای این کار، یک شاخه مرکزی ایجاد کرده و پوشه‌های مشخصی را به دایرکتوری کاربری هر عضو پیوند می‌زنیم:

/opt/hermes-brain/
├── skills/               # اسکیل‌ها و ابزارهای توسعه‌یافته مشترک
├── memories/             # مستندات و دانش دائمی مشترک شرکت
├── templates/            # الگوهای آماده و قراردادهای پروژه‌ها
└── AGENTS.md             # چارچوب اخلاقی، استانداردهای کدنویسی و قوانین عمومی

دستورات ایجاد پوشه و تنظیم سطح دسترسی گروهی در لینوکس:

# ۱. ایجاد گروه کاربری برای اعضای تیم هرمس
sudo groupadd hermesteam

# ۲. ایجاد ساختار دایرکتوری مرکزی
sudo mkdir -p /opt/hermes-brain/{skills,memories,templates}

# ۳. تنظیم مجوزهای گروهی با قابلیت ارث‌بری خودکار (SetGID)
sudo chown -R root:hermesteam /opt/hermes-brain
sudo chmod -R 775 /opt/hermes-brain
sudo chmod g+s /opt/hermes-brain

۴. پیاده‌سازی گام‌به‌گام برای کاربران با ایزوله‌سازی Cgroups

برای هر یک از اعضای تیم (مثلاً از dev1 تا dev6 و کاربر admin)، یک نام کاربری مستقل لینوکس همراه با سرویس systemd ایزوله تعریف می‌کنیم:

گام اول: ساخت کاربر و اتصال به مغز مشترک

# ساخت کاربر لینوکس
sudo useradd -m -s /bin/bash dev1
sudo usermod -aG hermesteam dev1

# ایجاد دایرکتوری هرمس و ایجاد سیم‌لینک به مغز مرکزی
sudo -u dev1 mkdir -p /home/dev1/.hermes
sudo -u dev1 ln -s /opt/hermes-brain/skills /home/dev1/.hermes/skills
sudo -u dev1 ln -s /opt/hermes-brain/memories /home/dev1/.hermes/memories
sudo -u dev1 ln -s /opt/hermes-brain/AGENTS.md /home/dev1/AGENTS.md

گام دوم: تعریف سرویس Systemd با محدودیت منابع

برای جلوگیری از اینکه یک کاربر با اجرای یک کد سنگین یا لوپ بی‌نهایت تمام منابع سرور را ببلعد، از قابلیت‌های Cgroups v2 استفاده می‌کنیم:

[Unit]
Description=Hermes WebUI Isolated Instance for %i
After=network.target

[Service]
Type=simple
User=%i
WorkingDirectory=/home/%i
Environment=HOME=/home/%i
ExecStart=/usr/local/bin/hermes-webui --port %I_PORT --host 127.0.0.1
Restart=always
RestartSec=5

# کنترل و محدودیت سخت‌افزاری Cgroups v2
MemoryMax=650M
CPUQuota=85%
TasksMax=120

[Install]
WantedBy=multi-user.target

۵. حفظ محرمانگی و حریم خصوصی مدیر مجموعه

یکی از مهم‌ترین پرسش‌ها در استقرار تیمی این است: «اگر مدیر مجموعه بخواهد موضوعی فوق‌محرمانه مطرح کند یا در سامانه‌ای لاگین نماید، چطور مطمئن شویم سایر اعضا به آن دسترسی ندارند؟»

برای پاسخ به این نیاز، سه لایه حفاظتی قطعی پیاده‌سازی می‌شود:

الف) تفکیک کامل لایه نشست و تاریخچه چت

تاریخچه چت‌های مدیر در مسیر /home/admin/.hermes/state.db قرار دارد. با اعمال مجوز chmod 700 /home/admin، هیچ کاربر عادی در لینوکس اجازه ورود به این دایرکتوری یا خواندن متون گفت‌وگو را نخواهد داشت. هر کاربر منحصراً تاریخچه سشن‌های اختصاصی خودش را در پورت و پنل خود می‌بیند.

ب) ایزوله‌سازی سشن مرورگر و کوکی‌های ورود (Browser Isolation)

هنگامی که ایجنت با دستورات مرورگر (مانند ورود به حساب‌ها) کار می‌کند، داده‌های کوکی، سشن استوریج و حافظه موقت کروم در دایرکتوری کاربری ذخیره می‌شوند:

• پروفایل مرورگر مدیر در مسیر /home/admin/.config/google-chrome یا دایرکتوری محلی او نگهداری می‌شود.
• کاربران دیگر مرورگر را با دایرکتوری کاربری خود اجرا می‌کنند؛ بنابراین هیچ کوکی یا لاگینی بین کاربران به اشتراک گذاشته نمی‌شود و امکان سوءاستفاده از دسترسی‌های مدیر وجود ندارد.

ج) گاوصندوق رمزها و متغیرهای محرمانه (Vault Isolation)

کلیدهای خصوصی API و پسوردهای شخصی مدیر نباید در متغیرهای سراسری سیستم قرار گیرند. این داده‌ها داخل فایل محلی کانفیگ هرمس مدیر نگهداری شده و با پرمیشن سخت‌گیرانه محافظت می‌شوند:

chmod 600 /home/admin/.hermes/config.yaml
chmod 600 /home/admin/.hermes/vault.json

د) استفاده از پروفایل فوق‌محرمانه (Stealth Profile) برای مدیر

مدیر می‌تواند علاوه بر سشن عادی، یک پروفایل کاملاً مستقل داشته باشد که حتی به مغز مشترک هم لینک نباشد و کلیه حافظه‌ها و ثبت وقایع آن صرفاً در دایرکتوری شخصی ایزوله بماند:

hermes --profile executive

۶. ماتریس مقایسه دسترسی‌ها و حریم خصوصی در تیم

۷. مسیریابی معکوس با Nginx برای دسترسی بدون پورت

برای تجربه کاربری بهتر، اعضا نباید شماره پورت‌ها را حفظ کنند. با کانفیگ Nginx و ساب‌دامین‌های امن روی سرور، دسترسی هر فرد به سادگی از طریق آدرس اختصاصی برقرار می‌شود:

server {
    server_name ali.internal.company.com;

    location / {
        proxy_pass http://127.0.0.1:8781;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_read_timeout 600s;
    }
}

نتیجه‌گیری

استقرار تیمی ایجنت‌های هوش مصنوعی با معماری «مغز مشترک و نشست‌های ایزوله»، بهترین تعادل را میان هم‌افزایی سازمانی و امنیت اطلاعات ایجاد می‌کند. در این الگو، اعضای تیم بدون نگرانی از تداخل پیام‌ها یا افت سرعت به کار خود می‌پردازند، دانش تجمیع‌شده به سرعت میان همه تکثیر می‌شود و مدیریت مجموعه با آسودگی خاطر کامل می‌تواند امور حساس و راهبردی را در فضایی صددرصد محرمانه پیش ببرد.