qwen3-asr-assistant

SUSPICIOUS: 技能目的与核心能力基本一致，但存在两处关键不一致：一是代码实际依赖未声明的 coze_workload_identity，二是默认 ASR 端点与已知官方 Qwen ASR 文档不匹配。它会读取环境变量中的 API key、读取本地音频并上传到远程服务，且允许任意覆盖 base_url，导致凭证和音频可被重定向到非官方主机。未见明显恶意载荷、下载执行或隐蔽窃密逻辑，因此更像高风险/可疑集成而非确认恶意。