zentao-shared

总体偏可疑而非恶意。主体功能与 ZenTao 配置/认证目的基本一致，且未见明显凭据外传或隐蔽执行；但更新流程要求安装另一项 skill，形成不必要的传递信任链，同时 npm 更新目标与已验证官方发布身份存在一定不确定性。应将其视为中等风险的开发者工作流技能，而不是确认恶意内容。