xyq-skill

该技能的媒体生成与上传下载能力总体符合其宣称用途，但核心风险在于依赖未给出可验证来源的 pippit-tool-cli，并允许其接收访问密钥或复用本机登录凭证。再加上可覆盖 API 基址，整体更像高风险可疑技能而非明确恶意：用途基本一致，但安装信任链和凭证/数据流完整性不足。