photocraft-cli-text

SUSPICIOUS：技能目标与图像文字编辑能力基本一致，本地工程/CLI/桌面运行时也与用途相符；但核心执行依赖通过第三方 skills 仓库动态安装另一项 skill，形成明显的 transitive trust 风险。未见凭据收集、异常数据外传或预执行恶意载荷，因此更像高风险供应链/信任边界问题，而非确认恶意。