Add Hermes Agent as reproducible second client

docs/INSTALLATION.md

@@ -63,6 +63,8 @@ werden nicht ausgegeben. Sie liegen root-only unter `/etc/mike-ai`.
 
 - Open WebUI: `http://<WIREGUARD-IP>:8080`
 - Router: `http://<WIREGUARD-IP>:8081`
+- Hermes Dashboard: `http://<WIREGUARD-IP>:9119`
+- Hermes API: `http://<WIREGUARD-IP>:8642`
 - SSH fallback: `ssh root@<WIREGUARD-IP>` (key-only, forwarded to host sshd)
 - llama.cpp-WebUI: absichtlich deaktiviert und nicht veröffentlicht
 
@@ -72,9 +74,23 @@ sudo docker inspect -f '{{.State.Health.Status}}' mike-ai-wireguard-gateway
 sudo docker compose --env-file /etc/mike-ai/stack.env \
   -f /opt/mike-ai/stack/compose.yaml ps
 curl http://<WIREGUARD-IP>:8081/health
+curl http://<WIREGUARD-IP>:8642/health
 ssh -o BatchMode=yes root@<WIREGUARD-IP> true
 ```
 
+Hermes verwendet standardmäßig `qwen-medium` mit 160K Kontext und dieselbe
+Router-API wie OpenWebUI. Das Dashboard meldet sich mit Benutzer `michael` an;
+das zufällig erzeugte Kennwort wird ausschließlich lokal angezeigt:
+
+```bash
+sudo cat /etc/mike-ai/hermes-dashboard-password
+```
+
+Der Schlüssel der Agent-API liegt entsprechend unter
+`/etc/mike-ai/hermes-api-key`. Beide Werte gehören weder in Git noch in Chats.
+Hermes' lokales Terminal sieht nur `/data/hermes/workspace` im Container. Für
+Athena und Unraid verwendet es die dokumentierten Operator-/MUA-MCPs.
+
 Der SSH-Fallback lauscht ausschließlich auf der IPv4-Adresse von `wg0` im
 WireGuard-Gateway-Container. Er wird nicht als Docker-Port auf dem
 Standort-Interface veröffentlicht. Das Gateway leitet die Verbindung an den