远程机器最小操作：执行一条 bootstrap 脚本，自动安装 Tailscale、启用 SSH、创建受限 hermesops 账号、部署诊断脚本。本地 Hermes 控制节点通过 Tailnet/MagicDNS/SSH 指挥远端采集证据并分析。
本地 Hermes 保存模型密钥、会话、分析能力；仅通过 SSH over Tailscale 对远端运行诊断。
远端只装 Tailscale、SSH、受限账号、诊断脚本；不装 Hermes，不开公网端口。
ACL + SSH key + sudo 白名单 + 证据包本地分析；任务结束可撤销设备。