pm-resource

该技能的业务目标本身是良性的，但实际足迹超出纯资源规划：它会自动执行不可见的本地更新脚本，并调用另一个技能中的本地 CLI 做外部搜索，形成明显的供应链与传递性信任风险。未见明确凭据窃取或恶意外传证据，因此更适合判定为 SUSPICIOUS / 高风险脆弱技能，而非确认恶意。