pi-trending

SUSPICIOUS: 排行查询本身与官方 npm 数据源基本一致，未见直接窃密或异常外传；但该技能把“发现热门包”延伸为安装其他技能，尤其是 bunx skills add <gh-repo> 的转移信任行为，与查询型技能相比权限外延偏大。总体更像带有中等供应链/转移信任风险的生态导航技能，而非确认恶意。