research-idea

该技能的表面目的与主要能力基本一致，未见明显凭证窃取、外传端点或远程载荷执行，因此不属恶意。但它依赖多个未验证来源的本地技能，并处理任意外部资料/PR/URL后再写文件和调用脚本，存在明显的供应链与间接提示注入风险，整体应判为可疑而非恶意。