qinghu-product-swap

该技能目的与能力基本一致：做商品替换并调用对应媒体生成 CLI。主要风险在于环境自举会安装外部工具，且把青虎 token 交给 qhkit 这个第三方 npm CLI；虽然 token 获取与服务域名指向 iqinghu.com，未见明显越权取敏感文件或异常外传，但 qhkit 的可验证发布链不足，按技能规则应判为高供应链风险。整体为 SUSPICIOUS，不足以认定恶意。