linkpix-pod-pattern-extract

SUSPICIOUS。技能目的与能力基本一致：它确实围绕图片上传、模型调用和图案提取展开，token 也指向同一服务域名，没有明显无关的文件读取或外传行为。但它要求在本地安装并执行第三方 CLI，再把服务 token 交给该 CLI；同时还会在环境缺失时下载并安装 Node，扩大了执行与供应链信任面。由于当前证据只能确认 npm/Node 官方分发渠道，不能充分验证 `@iqinghu/qhkit` 与 `iqinghu.com` 的可审计发布关系，应按中等风险处理，而非判定为恶意。