В 03:00 мониторинг показывал нормальный трафик, а pod уже отправлял данные на незнакомый внешний IP. Диагноз «нужен tcpdump» неверен: Hubble видит flow-события datapath Cilium через eBPF. Постоянный захват пакетов не требуется, но это не бесплатная телеметрия и не средство блокировки.