project-foundation

SUSPICIOUS: la función principal es coherente con un orquestador de definición de proyectos, pero su huella incluye instalación automática/JIT de varias skills externas y reutilización de skills hermanas no auditadas aquí. No hay señales claras de exfiltración o malware, pero la cadena de confianza transitive y la instalación global de terceros elevan el riesgo a medio.

El fragmento contiene instrucciones legítimas de instalación de skills, pero introduce un riesgo de cadena de suministro porque descarga código externo sin versionado inmutable, ejecuta npx con confirmación automática y lo instala globalmente. No hay evidencia directa de robo de datos, backdoor, criptominería o sabotaje en el texto proporcionado. Deben revisarse los scripts de instalación y fijarse repositorios a versiones o hashes verificables antes de usarlo.

The script is a legitimate-looking installer, but it presents a meaningful supply-chain risk because it executes an implicitly versioned remote CLI and installs unpinned external repositories with automatic confirmation, often globally. The fragment itself contains no clear malware, credential theft, or destructive behavior. Pin versions or commit hashes, verify signatures or checksums, avoid suppressing output, and review the fetched skill contents before installation.

The file is an installer/orchestration script, not direct malware based on the supplied code. It presents a meaningful supply-chain security risk because it automatically downloads and executes an external CLI, installs unpinned repository content globally by default, suppresses output, and performs no integrity or authenticity checks. Review and pin the CLI and skill sources to trusted versions or commit hashes before use.