huashu-slides

SUSPICIOUS. 技能总体用途与能力基本匹配，但它通过 shell 直接读取 ~/.claude/.env 中的 GEMINI_API_KEY，并将凭证交给外部 skill 或未充分验证来源的本地脚本来生成图片。未见明确恶意窃密或无关外传证据，但凭证处理方式和传递信任链超出了低风险文档型技能的正常范围。