php-xxe-audit

该技能与其声明目的基本一致：本地分析 PHP 源码中的 XXE 风险并输出证据化报告。未见凭证窃取、外部数据转发或可疑安装链，因此不像恶意技能；但其核心能力属于漏洞发现与 PoC 生成的安全/利用工具，对 AI 代理来说本身是高敏感能力，应归为可疑而非良性。