linkpix-pod-assets

SUSPICIOUS：技能用途与 POD 设计任务基本匹配，数据流也主要指向同品牌的 iqinghu/LinkPix 服务，没有明显越权读本地敏感文件或外传到无关域名。但它要求安装并运行外部 `@iqinghu/qhkit` CLI，再把 API token 和用户图片交给该 CLI；在缺乏充分公开源码/可验证发布链证据时，这属于较高的供应链与凭证转发风险。