用途：在 capsem 客户机 VM 内运行诊断测试、调试失败并维护测试夹具。诊断套件基于 pytest，测试位于 guest/artifacts/diagnostics/ 并烘焙进 rootfs。
主要能力：覆盖沙箱（只读 rootfs、权限、内核加固、网络隔离）、网络（MITM CA、HTTPS、端口与 IP 阻断、DNS）、环境变量、运行时（Python/Node/npm/pip/git）、约 36 个 unix 工具、工作流、AI CLI 与 VirtioFS 等类别。
使用方式：运行 just exec "capsem-doctor" 执行全套；用 -k sandbox、-k network 过滤；-x 遇错停止。新增测试可加入对应 test_*.py 或新建 test_<category>.py，使用 conftest 的 run 与 output_dir；测试在非 capsem VM 中自动跳过。用 just _build-assets 重建 rootfs 烘焙新测试；开发时 just exec 会把 diagnostics/ 重新打包进 initrd，便于快速迭代。会话检查用 python3 build_system/scripts/doctor/check_session.py（支持 --list、-n、指定 session-id）。遥测管道可用 touch、curl、claude -p 等命令验证。夹具为真实会话 DB，更新需运行 integration_test.py、检查完整性、按 /dev-session-debug 流程清洗，最后 cargo test --workspace 验证。
限制：夹具刷新无 Just 便捷命令；事件缺失需检查守护进程启动、vsock 连接与 debouncer 刷新（加 sleep 1）。