gitcode-pr-security-review

总体偏可疑而非恶意。技能目的与核心能力基本一致，所需 GitCode token 和 PR 评论权限也大体成比例；但它把代码差异转交给未验证的 sdk-security-audit 技能，存在传递信任风险，同时 GitCode API 主机与认证细节和官方文档不完全一致。未见明显窃密、恶意下载执行或隐藏行为。