用途：管理 Elastic Cloud Serverless 项目的网络安全策略（底层 API 称 traffic filters），包括 IP 过滤器（type ip，允许特定 IP 或 CIDR）与 VPC 过滤器（type vpce，限制到特定 AWS VPC 端点）。
主要能力：创建、列出、查看、更新、删除过滤器；查询 PrivateLink 区域元数据（服务名、域名、可用区）；审计组织当前网络安全状况；关联/解除关联过滤器（委托给 cloud-manage-project）。
使用方式：前置条件是 cloud-setup 已运行、环境中已设置 EC_API_KEY；若缺失应让智能体先调用 cloud-setup，不要直接向用户索要 API 密钥。可用 python3 skills/cloud/network-security/scripts/cloud_network_security.py list-filters 验证密钥有效性。过滤器按区域划分，创建时须指定区域。常用命令示例：create-filter --name --type --region --rules；list-filters --region；get-filter --filter-id；update-filter --filter-id --body；get-metadata --region；delete-filter --filter-id（可加 --dry-run）。
权限：列出过滤器/获取元数据任意组织成员即可；创建、更新、删除需组织 owner；关联项目需组织 owner 或项目 Admin。技能不做角色预检，由 API 强制授权，遇 403 应停止并让用户核对密钥权限。
限制与注意：更新规则会整体替换规则集，需包含全部现有规则；删除前须先解除项目关联；include_by_default 会自动关联区域内所有新项目，需谨慎；过滤器仅限本区域项目使用；破坏性操作前应确认；建议复用已有过滤器并定期清理未使用项。项目创建与日常运维见 cloud-create-project、cloud-manage-project，身份与访问管理见 cloud-access-management，Elasticsearch 层安全见 elasticsearch-authz。