vectorcraft-cli-setup

该技能的总体目的与声明能力基本一致：安装并调用固定版本的 VectorCraft CLI/桌面，未见明显凭据收集、秘密文件读取或第三方数据中转。主要风险在于它并不自包含，而是要求再安装 `vectorcraft-harness` 技能；这引入中等偏高的转移信任和供应链风险，尤其因为 skill 发布者与上游 VectorCraft 发布者不是同一组织。基于现有证据，更适合判定为 SUSPICIOUS 而非恶意。