project-create

Clasificación final: SUSPICIOUS. El propósito y capacidades visibles son mayormente coherentes con crear proyectos desde una plantilla del equipo, pero el elemento de mayor confianza —los archivos `references/<stack_id>.md` que definen remotes y pasos exactos— no está disponible, por lo que no puede verificarse el origen de la plantilla ni el alcance real del post-merge. No hay señales de malware confirmado, pero sí riesgo de cadena de suministro y ejecución de scripts vía `npm install`.