minicpmvocr-sdk

该技能总体用途与能力基本一致：它确实是在指导部署 MiniCPM-OCR、下载模型、启动本地/远程推理服务并解析文档。未见凭证窃取、隐蔽外传、预执行恶意命令或与用途明显不符的权限请求，因此不属于恶意技能。主要风险来自供应链与数据流：依赖大量源码/editable 安装，且默认建议通过第三方 hf-mirror.com 获取 Hugging Face 模型，这会把下载与可能的令牌流量经非官方中介转发。综合判定为 SUSPICIOUS（偏供应链/中介流量风险），不是 MALICIOUS。