post-to-xhs

SUSPICIOUS：技能声明的发布用途与能力基本一致，但核心发布/登录依赖第三方 MCP/CLI 而非已验证官方 API，且会把内容、媒体路径及可能的会话信息交给外部工具处理。再加上其具备真实世界公开发布能力，整体风险中高；更像高风险第三方集成，而非明确恶意。