skill-publish-sync

该技能的功能范围与“多平台技能发布同步”总体一致，读取本地 skill、白名单和调用各平台 CLI 都与目的相符，未见明显越权读取无关敏感文件或将数据发往明显无关端点。主要问题在于供应链与凭证处理：SkillHub 通过对象存储上的 curl|bash 安装脚本，Lenovo 通过 npx 执行外部 CLI，且技能会把本地内容与登录态交给这些外部工具；再加上命令行传 token 的文档示例，整体应判为可疑而非恶意。