substack

SUSPICIOUS: 目的自体はSubstack操作と整合しますが、実装基盤が公式Substack APIではなく未検証の第三者`substack-mcp`で、しかもブラウザセッションCookieをそのコードへ渡す点が不釣り合いです。公開・削除・返信など高影響操作も可能なため、明確な悪性までは断定できない一方で、認証情報転送と供給網リスクが大きいスキルです。