git-cmsg

SUSPICIOUS：整体用途与 Git 提交辅助基本一致，且无外部安装/代理转发迹象，因此不像恶意技能；但它默认 `git add .`、可读取本地配置元数据、并在文档后段扩展到 `git push`，与“只提交不推送”的声明明显冲突。主要风险是范围过大与真实世界动作越权，而非已确认恶意或凭证窃取。