grok

SUSPICIOUS: 该技能的用途与能力大体一致，且数据主要流向 xAI 官方服务，不像明显的凭证窃取器；但它通过不可公开验证的本地 wrapper 将项目内容委托给外部 CLI/远端服务，并允许直接改写工作区，形成中等供应链、数据外发和代理执行风险。