用途：该 MITM 代理是网络引擎的 HTTPS 拦截边界，拦截来自隔离 guest VM 的流量，将其规范化为类型化事实，向安全引擎传递 SecurityEvent，同时保留允许的运行时字节转发给上游。适用处理 TLS 终止、HTTP 检查、证书签发、SSE 解析或网络调试的场景。
主要能力：按流水线处理 Guest curl → iptables REDIRECT → capsem-net-proxy（guest，端口 10443）→ vsock 端口 5002 → 主机 MITM 代理 → SNI 解析与网络元数据捕获 → TLS 终止（rustls，按域名从 Capsem CA 签发证书）→ HTTP 请求解析（hyper）→ SecurityEvent 与规则/插件轨 → TLS 转发真实上游 → 记录遥测到 session DB → 回传响应。支持 SNI 解析、按需域名证书签发与缓存、响应解压、SSE 解析以提取模型名、token 数与成本数据。
安全边界：网络代码只解析传输字节、路由流量并发出 SecurityEvent，不处理凭据、不创建凭据引用、不执行 CEL/安全决策。运行时物化与账本物化必须分离，后者只含 broker refs、哈希、有界预览与类型化检测。
用法与限制：测试可用 cargo test -p capsem-core net、just exec "capsem-doctor -k network"、just exec "curl -s https://api.anthropic.com/" 配合 check_session.py。代理必须统一规范化 Accept-Encoding 并在解析前透明解压，不可借删除编码头规避；SSE 解析须在解压后、纯文本 UTF-8 上执行；model_calls 遥测仅针对真实 LLM API 路径。具体收费、平台与部署细节暂未提供。