bmap-cli

该 skill 的目的与地图开发/查询能力大体一致，未见明确恶意或隐蔽外传；但其核心依赖通过 curl 下载并执行未充分可验证的外部二进制，随后让该二进制处理登录并落地 AK/Token，还会安装其他 skills，形成明显的供应链与传递信任风险。综合判断为 SUSPICIOUS，而非确认恶意。