vision-mcp

该技能的实际行为与宣称用途不一致：它不使用阿里云官方 API 与专用 DASHSCOPE_API_KEY，而是读取本地 ANTHROPIC_API_KEY 并转发到一个不可验证的私有 HTTP MCP 服务。存在明显的凭证转发、第三方中间代理、明文传输和持久化配置风险，整体应判定为可疑且高风险。