Add Hermes WebUI and Athena operator skill

docs/COMPONENTS.md

@@ -7,6 +7,8 @@
 | Qwen-Profile | `platform/profiles/` | vollständig, Modelle ausgenommen | Kern |
 | MCP-Tool-Stack | `platform/mcp/compose.yaml` | vollständig | Kern |
 | Hermes Agent | NousResearch Hermes Agent 0.20.5, OCI-Digest gepinnt | eigener Clientcontainer, Dashboard/API, persistente Daten unter `/data/hermes` | Kern |
+| Hermes Community-WebUI | nesquena/hermes-webui 0.52.113, OCI-Digest gepinnt, kleine lokale Kompatibilitätsschicht | optionale mobile Browseroberfläche über Hermes-Gateway; installiert Abhängigkeiten aus Hermes 0.20.5 ohne dessen absichtlich gesperrten Wheel-Build; eigener Zustand unter `/data/hermes-webui` | Optional |
+| Hermes Athena-Operator-Skill | `platform/hermes/skills/athena-operator/SKILL.md` | knappe, versionierte Arbeitslogik für Plattformwissen, Operator, Rollback, Verifikation, Git und Recovery; wird in alle Hermes-Profile synchronisiert | Kern |
 | Websuche | SearXNG + TinySearch/Crawl4AI | intern, ohne veröffentlichten Port | Kern |
 | Allgemeines Web | OpenWebUI native Suche; TinySearch-Upstream-MCP auf VPN-Port 8203 für andere Clients | site-unabhängig; keine neue Implementierung pro Website | Kern |
 | Frühere Web-MCP-Fassade | `platform/web-search/web_search_mcp.py` | nur Rollback-Profil `legacy-web` | Altbestand |

docs/CURRENT_REFERENCE.md

@@ -101,6 +101,12 @@ Der Router übernimmt:
 - Standardmodell: `qwen-medium`, 160.000 Kontext, über den Profile Router
 - Dashboard: WireGuard-Port 9119 mit Basic-Auth
 - Agent-API: WireGuard-Port 8642 mit eigenem Bearer-Key
+- Profile: Fast 76,8K, Medium 160K, Large 192K, Ultra 262K und Uncensored
+  80K; alle verwenden dieselben MCPs, Skills, Sprach- und Sicherheitsvorgaben
+- Der verwaltete Skill `athena-operator` wird aus dem Repository in das
+  Standardprofil und alle fünf benannten Profile synchronisiert. Er enthält
+  nur die verbindliche Arbeitslogik; Architektur und Ist-Zustand werden
+  bedarfsgerecht aus Platform-Context- und Operator-MCP gelesen.
 - persistenter Zustand: `/data/hermes`
 - lokales Terminal: ausschließlich `/data/hermes/workspace` im Container
 - MCPs: Athena-Plattform, Athena-Operator, allgemeines Web, GitHub, Home
@@ -109,6 +115,18 @@ Der Router übernimmt:
   Universitätsadresse
 - Start verweigert, wenn die verwaltete Konfiguration nicht lesbar ist oder
   nicht ausdrücklich `custom` und den lokalen Router als Provider nennt
+- Optionale Community-WebUI 0.52.113 auf WireGuard-Port 8787: eigener
+  Container und eigener Zustand unter `/data/hermes-webui`; Chats laufen über
+  die vorhandene Hermes-Gateway-API. Der vom Upstream-Entrypoint benötigte
+  gemeinsame Hermes-Home-Mount ist beschreibbar; UI-eigener Zustand bleibt
+  davon getrennt. Änderungen in WebUI-Einstellungen wirken daher bewusst auf
+  die zentrale Hermes-Konfiguration. Eine schreibgeschützte Kopie des exakt
+  gepinnten Hermes-Agent-Codes liegt unter `/data/hermes-webui/hermes-agent`,
+  damit Modell-, Skill- und Sitzungsfunktionen nicht im reduzierten Modus
+  laufen; der Installer erneuert sie nur bei geändertem Hermes-Image. Der
+  kleine Container `mike-ai-hermes-webui-vpn-proxy` teilt ausschließlich den
+  Netzwerk-Namespace des WireGuard-Gateways und hält Port 8787 rebootfest,
+  ohne das Gateway für Installation oder Entfernung neu zu erstellen.
 
 ## Vision
 

docs/DISASTER_RECOVERY.md

@@ -101,6 +101,11 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
 - [ ] Athena Operator und rootseitiger Executor gesund; Lesen und Preview
       erfolgreich; falsches/abgelaufenes Ticket, Pfadausbruch, WireGuard-Stopp,
       freie Befehle, SSH, Reboot und Shutdown in Negativtests verweigert
+- [ ] Hermes-Profile Fast, Medium, Large, Ultra und Uncensored vorhanden;
+      `athena-operator` liegt im Standardprofil und in allen fünf Profilen
+- [ ] falls `INSTALL_HERMES_WEBUI=true`: Community-WebUI auf VPN-Port 8787
+      gesund, Chat-Backend ist das bestehende Hermes-Gateway und weder Hermes
+      noch das aktive Qwen-Profil wurde dafür neu gestartet
 - [ ] lokales Dokumentations-Overlay ist auch im privaten Git enthalten und
       der Recovery-Koffer wurde danach neu erzeugt
 

docs/VPN_SERVICE_PORTS.md

@@ -17,6 +17,7 @@ Aktuelle VPN-Adresse: `192.168.1.212`
 | 8092 | XTTS direkt | `http://192.168.1.212:8092` |
 | 9119 | Hermes Dashboard | `http://192.168.1.212:9119` |
 | 8642 | Hermes Agent API | `http://192.168.1.212:8642` |
+| 8787 | optionale Hermes Community-WebUI | `http://192.168.1.212:8787` |
 | 8201 | Athena Platform Context MCP | `http://192.168.1.212:8201/mcp` |
 | 8202 | Athena Operator MCP einschließlich Terminal | `http://192.168.1.212:8202/mcp` |
 | 8203 | Allgemeiner TinySearch-MCP | `http://192.168.1.212:8203/mcp` |