用途：该技能是 Hermes 运行时流量监控的落地规范（baseline specification），面向需要构建 Hermes 代理侧流量监控能力的开发者。它当前刻意不附带代理或运行时实现，只给出范围、安全契约与实现入口。
主要能力（规划范围）：按操作者授权进行的 HTTP 代理检查；可选的 HTTPS 检查，依赖按进程配置的 CA 信任；出站数据外泄检测；入站注入检测；脱敏后的本地威胁日志；以及供 hermes-attestation-guardian 使用的状态导出。明确指出不要将代理运行时所有权加到 hermes-attestation-guardian，该技能只应证明本监控的状态与配置。
安全契约：仅限主动选择启用；默认只检测并记录；不自动安装系统 CA；不修改全局代理环境变量；首个实现中不做阻断；写日志、摘要或与证明关联的输出前先脱敏敏感信息；所有状态保存在 HERMES_TRAFFIC_GUARDIAN_HOME 或 $HERMES_HOME/security/traffic-guardian 下。
使用方式：可通过 Vercel Skills CLI 安装：npx skills add prompt-security/clawsec --skill hermes-traffic-guardian -a hermes-agent -y。独立安装需先校验签名发布清单，验证通过后才提取归档。实现前先阅读 SPEC.md，目录用途为 lib/（检测规则、脱敏、态势导出、报告格式化）、scripts/（启动、停止、状态、配置校验、日志查询、证明导出）、test/（单元、代理夹具、脱敏、证明导出测试）。
首个实现要求：不启动代理解析校验配置；前台或显式后台启动监控；将代理环境变量限定到目标 Hermes 服务或 CLI 进程；在限定字节内检查 HTTP 请求/响应文本；仅在操作者提供按进程信任配置时支持 HTTPS MITM；输出带脱敏片段的 JSONL 发现记录；导出小体积态势 JSON 供证明技能使用。
v0.0.1 实现不含：自动改写系统信任库、透明网络拦截、默认阻断、把流量发往外部服务、采集完整请求/响应体。