pm-market

整体更偏 SUSPICIOUS 而非恶意。市场调研这一目的与读文档、问用户、联网搜索、生成报告基本一致；主要风险来自执行不可见的本地 update 脚本，以及在用户可写目录中查找并运行另一技能的 CLI，造成供应链与跨技能信任扩张。未见明显凭证窃取、隐藏外传或与目的明显不符的数据流。