html-stable-publish

该技能的能力与“发布静态 HTML 到 Postplan”目的基本一致，未见明显越权读敏感文件或隐蔽外传。主要风险来自未固定版本的 npx 远程 CLI 执行，以及可覆盖 API 端点导致内容/凭据可能被导向非官方服务器；因此更适合判为 SUSPICIOUS 而非恶意。