diff --git a/INSTALL.md b/INSTALL.md
index a80ea84..2a9c808 100644
--- a/INSTALL.md
+++ b/INSTALL.md
@@ -1,27 +1,56 @@
 # Инструкция по установке
 
-Агент **Dionis** — профиль Hermes Agent: личный помощник. Ключ API у каждого свой.
+Агент **Dionis** — профиль Hermes Agent: личный помощник. Ключ API выдаёт владелец
+агента — его вы впишете один раз при установке.
+
+Вам передают **два архива**:
+
+| Архив | Что внутри | Размер |
+|---|---|---|
+| `vasily-setup-v<версия>.zip` | агент: персона, настройки, 58 скиллов, установщик | ~1 МБ |
+| `hermes-desktop-scrum.zip` | приложение Hermes с фирменным логотипом на пустом чате | ~150 МБ |
+
+Второй архив нужен, чтобы был графический интерфейс с логотипом. Без него агент
+работает, но только в командной строке и с обычной заставкой Hermes.
 
 ---
 
-## Быстрый путь: запустить `setup.cmd`
+## Быстрый путь
 
-Если вам передали папку с файлами `setup.cmd`, `setup.ps1` и `vasily-<версия>.bundle` —
-просто **запустите `setup.cmd` двойным кликом**. Скрипт сам:
+### Шаг 1. Приложение
+
+Распакуйте `hermes-desktop-scrum.zip` в постоянную папку, например:
+
+```
+C:\Hermes
+```
+
+В папке окажется `win-unpacked\Hermes.exe`. **Не запускайте пока.**
+
+> Распаковывать нужно в постоянное место: папку «Загрузки» Windows периодически чистит,
+> и приложение сломается.
+
+### Шаг 2. Агент
+
+Распакуйте `vasily-setup-v<версия>.zip` (например, в `Downloads`) и **запустите
+`setup.cmd` двойным кликом**. Скрипт сам:
 
 1. найдёт рядом файл агента;
 2. снимает метку «скачано из интернета» (иначе Windows блокирует запуск);
 3. при необходимости поставит Git и Hermes Agent;
 4. поставит агента (при повторном запуске — обновит);
-5. создаст файл ключа и откроет его в Блокноте — **ключ вписываете вы** (единственный ручной шаг);
-6. проверит, что агент отвечает, и покажет команду запуска.
+5. создаст файл ключа и **откроет его в Блокноте** — впишите туда ключ от владельца;
+6. проверит, что агент отвечает.
 
 Windows может один раз спросить подтверждение (SmartScreen) — это нормально.
 Первый запуск занимает несколько минут, окно закрывать нельзя.
 Протокол установки сохраняется рядом: `setup-log.txt`.
 
-Дальше — раздел 5 «Запустить». Остальные разделы нужны, только если что-то пошло не так
-или вы ставите агента вручную.
+### Шаг 3. Запуск приложения
+
+Запустите `Hermes.exe` из папки шага 1. Дальше — раздел 6.
+
+Остальные разделы нужны, только если что-то пошло не так или вы ставите агента вручную.
 
 ---
 
@@ -65,20 +94,20 @@
 
 ---
 
-## 3. Установить агента
+## 3. Установить агента (вручную)
 
 Положить файл, например, в `Downloads`, открыть PowerShell:
 
 ```powershell
 cd $env:USERPROFILE\Downloads
-git clone vasily-v1.0.1.bundle vasily-dist
+git clone vasily-<версия>.bundle vasily-dist
 hermes profile install .\vasily-dist --yes
 ```
 
 В конце появится:
 
 ```
-✓ Installed 'vasily' v1.0.1
+✓ Installed 'vasily' v1.2.3
   Profile path: C:\Users\<вы>\AppData\Local\hermes\profiles\vasily
   Next: copy .env.EXAMPLE to .env and fill in required keys
 ```
@@ -87,33 +116,21 @@
 
 ## 4. Ключ Polza.ai — обязательный шаг
 
-Ключ нужен обязательно, но вписать его можно двумя способами.
+Ключ вам выдаёт владелец агента. Вписать его нужно один раз.
 
-### Способ 1 — Блокнот (по умолчанию)
-
-Если в папке нет файла `key.env`, установщик создаст `.env` и откроет его в Блокноте:
-впишите ключ после знака `=`, сохраните (Ctrl+S), закройте Блокнот.
-
-### Способ 2 — файл `key.env` рядом с `setup.cmd`
-
-Владелец агента кладёт рядом файл `key.env` с одной строкой:
+**Как это происходит:** установщик откроет файл `.env` в Блокноте. Впишите ключ
+после знака `=`, без кавычек и пробелов, сохраните (Ctrl+S) и закройте Блокнот:
 
 ```
 HERMES_CUSTOM_POLZA_AI_API_KEY=ваш_ключ
 ```
 
-Тогда Блокнот не откроется — ключ подставится сам. В протоколе установки значение
-ключа не печатается.
+Если Блокнот закрылся, а ключ вписать не успели — откройте файл вручную:
 
-> Если владелец передал образец `key.env.example` — переименуйте его в `key.env`,
-> вставьте ключ и запустите `setup.cmd`. Ключ владелец передаёт **отдельно от архива**,
-> чтобы он не разошёлся по копиям файла.
-
-### Где взять ключ
-
-Ключ выдаёт владелец агента (или вы создаёте свой в кабинете Polza.ai:
-https://polza.ai/dashboard/api-keys, там же пополняется баланс — расход идёт со счёта
-владельца ключа).
+```powershell
+cd $env:LOCALAPPDATA\hermes\profiles\vasily
+notepad .env
+```
 
 Проверить, что Hermes видит файл:
 
diff --git a/config.yaml b/config.yaml
index a0ae194..5220804 100644
--- a/config.yaml
+++ b/config.yaml
@@ -13,6 +13,16 @@
   fast_auto_seconds: 60
   verbose: false
   reasoning_effort: medium
+  # Опасные инструменты выключены на уровне агента, а не скрыты в интерфейсе.
+  # terminal = произвольные команды + управление процессами; code_execution = запуск кода;
+  # computer_use = управление рабочим столом мышью и клавиатурой.
+  # Это реальное ограничение возможностей агента: вызвать их он не сможет.
+  # Файловые операции (file) оставлены: чтение документов — основная работа агента.
+  # Гранулярности «читать можно, писать нельзя» в Hermes нет.
+  disabled_toolsets:
+    - terminal
+    - code_execution
+    - computer_use
 terminal:
   backend: local
   cwd: .
diff --git a/distribution.yaml b/distribution.yaml
index c789e75..4872855 100644
--- a/distribution.yaml
+++ b/distribution.yaml
@@ -1,5 +1,5 @@
 name: vasily
-version: 1.2.2
+version: 1.2.3
 description: "Личный помощник руководителя: документы, письма, договоры, расчёты, поиск, задачи."
 hermes_requires: ">=0.21.6"
 author: "AI laboratory SCRUM company"