scan

整體屬可理解的安全掃描技能，目的與大部分能力一致；但 `Bash(npx:*)` 使代理可執行任意 npm 第三方 CLI，帶來明顯供應鏈與憑證轉交風險。未見明確惡意外洩或隱蔽行為，因此較適合判定為 SUSPICIOUS/高風險脆弱技能，而非惡意技能。