skill-management

SUSPICIOUS: 该技能的总体目的与“发现/评估/审计技能”基本一致，但它还把“安装其他技能”作为内置工作流，造成明显的 transitive trust 风险。证据显示 Skills CLI 和 skills.sh 属官方 Vercel 生态，因此不是伪装的第三方下载器；但该 CLI 官方上支持从第三方 Git 仓库、任意 git URL 乃至直接下载 URL/压缩包安装技能，这让本技能实际信任边界明显扩大。未提供脚本源码，无法确认是否存在额外数据转发或凭据处理，因此应按中高风险处理而非判定恶意。