hap-mcp-app-builder

SUSPICIOUS：技能目的与 HAP 应用搭建总体一致，但其实际权限与执行面偏大。主要风险是一次性 MCP 通配授权、远程自更新覆盖本地技能目录，以及依赖外部 MCP 进程承接高权限业务操作；未见明确凭据窃取或恶意外传，因此更像高风险自动化/供应链问题而非确认恶意。