Montar un asistente de IA propio, activo 24/7 y accesible desde el móvil por Telegram, es una promesa habitual de este tipo de vídeos. En este caso el proyecto detrás es real y verificable — lo que falta es la mitad de la historia: cómo no dejarlo abierto a cualquiera.
El tutorial funciona tal cual, con los comandos correctos
Hermes Agent, de Nous Research (un laboratorio de IA real, autor también de los modelos de la serie Hermes), es un agente open source con memoria persistente, licencia MIT y un repositorio activo con actividad reciente confirmada. El flujo que promete el vídeo — alquilar un VPS barato, conectarse por SSH, instalar Hermes con un único comando y enlazarlo a un bot de Telegram creado con BotFather — es reproducible de principio a fin con la documentación oficial del proyecto: hermes setup para configurar el modelo (con tu propia API key de Claude, ChatGPT u OpenRouter), y hermes gateway setup / hermes gateway install para conectar Telegram y dejarlo corriendo como servicio persistente. El requisito mínimo oficial es modesto — 2 GB de RAM y 10 GB de disco — y lo cubre de sobra un VPS de gama baja de Hetzner o Contabo por unos 4-5 euros al mes.
Lo que el vídeo omite por completo: la seguridad del propio proyecto
El documento SECURITY.md oficial del repositorio dice, literalmente, que el único límite de seguridad real frente a un modelo de IA con instrucciones maliciosas es el propio sistema operativo — no hay sandboxing por defecto — y que la configuración de fábrica es «ALLOW-ALL». El propio proyecto recomienda explícitamente no exponer nunca el gateway directamente a internet sin firewall, VPN o Tailscale, restringir por allowlist qué usuarios de Telegram pueden hablarle al bot, y ejecutarlo con un usuario sin privilegios, nunca como root. El tutorial que circula monta exactamente el escenario contrario — un VPS público con un bot accesible desde cualquier chat de Telegram — sin ninguna de esas protecciones. Existen además dos vulnerabilidades publicadas y catalogadas (CVE-2026-7396, de path traversal, y CVE-2026-7112, de bypass de autenticación) y una auditoría externa que documentó 4 hallazgos críticos y 9 altos en la configuración por defecto del proyecto.
Cómo lo aplicamos nosotros
Instalar un agente de IA con acceso a un ordenador o servidor propio no es solo un paso de «cinco minutos»: es una decisión de seguridad, sobre todo cuando ese agente queda accesible desde una app de mensajería que cualquiera puede escribir. Si vamos a montar algo así para un cliente, el firewall, la allowlist y el usuario sin privilegios no son opcionales — van antes de conectar nada a internet, no después de que algo falle.
Si quieres automatizar tareas con un agente de IA propio sin abrir una puerta trasera sin querer, hablemos. Contacta con nosotros.