qinghu-pod-assets

SUSPICIOUS。技能目的与能力基本一致，凭证和数据流也主要指向青虎官方服务；但它要求代理在缺环境时安装 Node 与 qhkit，并可能用 npx 临时拉取并执行 CLI、再向其提供 token，带来中等供应链与凭证转交风险。未见凭证外传到无关第三方、隐藏行为或明显恶意代码，因此更像高权限工作流集成而非恶意技能。