本卡屬 FR-166（母卡 CM-3109），批 8。repo：agent。由首腦在驗收 P2-4（CM-3117）時發現：容器版 Agent 的網路除錯缺 ping、traceroute、MTU 三項。

這張卡做什麼（白話）

容器版 Agent 的權限全部關掉（cap_drop: ALL），映像檔裡也沒裝 ping、traceroute，網路除錯這三項在容器版只會顯示「此環境不可用」。老闆點名要的就是 ping 和 traceroute。本卡在映像檔補裝工具，容器只多開「發 ping 封包」那一項權限，其餘照舊關閉。

在哪裡

repo：~/Projects/Billows/Audit-Manager/evidence-agent
改：deploy/Dockerfile.runtime（加裝 iputils-ping、traceroute）
改：deploy/docker-compose.yml（cap_add: [NET_RAW]，cap_drop: [ALL] 保留）
改：deploy/README.md 安裝需求段（寫明容器版多開 NET_RAW 的理由）

怎麼做

• Dockerfile.runtime 用 apt 加裝 iputils-ping、traceroute（照檔內既有 apt 段的寫法與清快取方式），不要裝 nmap、tcpdump、iperf（P3-7 守衛第 3 條會掃 Dockerfile）。
• docker-compose.yml 保留 cap_drop: [ALL]，只加 cap_add: [NET_RAW]。
• README 安裝需求寫一句：容器版多開 NET_RAW 是為了網路除錯的 ping／traceroute／MTU，關掉這三項會顯示不可用、其他功能不受影響。

驗收（可親手做、可親眼看）

• test_fr166_guards.py 綠（第 3 條會掃 Dockerfile 與 compose）。
• 本機 docker build 映像後，容器內 ping -c1 127.0.0.1、traceroute -m1 127.0.0.1 可執行；若本機無法 build，回寫說明打折處，並至少 docker compose config 驗語法。
• 網路除錯儀表板在容器內，ping／traceroute／MTU 不再顯示不可用。

紀律

• 先 git status；顯式 git add 檔名，禁 -am；不切 branch；push 等令；不自派 subagent；只動 DEV。
• 先 git merge ws-CM-3109 把前面批次的成果併進來再動手（前幾批同批卡多次撞檔）。
• 不重複造輪子：先 grep 既有的再寫；extend 既有那支，不另開 V2。檔案註解只寫為什麼與陷阱。
• 資安規範讀 BE .claude/rules/security/ 八支；動到認證／授權／密碼學要寫測試且含突變。
• 做完 commit＋卡上回寫（commit hash、改了哪些檔、reuse／extend／new、資安對照、手測清單），狀態改「修正待驗證」。

建議模型與思考強度（首腦判斷）