出口代理 (Egress)

面向远程终端沙箱的可选出站凭据注入防火墙。沙箱中只存放不透明的代理 token；真实的 API key 永远不会离开宿主机。

• iron-proxy —— 来自 ironsh/iron-proxy 的单二进制 TLS 拦截代理，由 hermes egress 懒安装并托管。