image-to-ui-skill

该 skill 的目标与能力大体一致，但其关键执行链依赖未说明来源的 native image2 CLI，并要求安装 sibling skill 作为 fallback，再把图像 API key 转交给该外部脚本。没有明显恶意或隐蔽窃取迹象，但供应链与凭据转发风险明显，应判为 SUSPICIOUS 而非 BENIGN。