bump-and-release

整體屬於與用途大致相符的發布自動化技能，但它允許代理執行未逐步確認的公開發布操作（push、tag、release 編輯），因此不是低風險。安裝與資料流多為官方工具與 GitHub 官方端點，未見明顯憑證竊取或第三方中繼；較合理的分類是 SUSPICIOUS 偏高風險自動化，而非惡意。