day2-supplement-mcp

공식 npm CLI와 공개 GitHub repo를 사용하는 점은 비교적 정합적이지만, 이 스킬은 본래의 MCP 학습 목적을 수행하기 전에 다른 스킬 묶음을 자동 설치하게 한다. 이는 악성으로 단정할 증거는 없으나 전이적 신뢰와 미고정 버전 공급망 위험이 있어 SUSPICIOUS에 가깝다.

악성 코드 자체가 포함된 문서가 아니라 MCP 서버 설치를 안내하는 교육 자료다. 다만 npx로 최신 패키지를 무고정 실행하고, 외부 MCP 서버와 민감한 서비스·로컬 파일에 권한을 부여하도록 안내하므로 공급망 및 데이터 접근 위험이 있다. 패키지 버전 고정, 출처·무결성 검증, 최소 권한 경로 지정, 서버별 권한 검토가 필요하다.