xiaohongshu-write

该 skill 的小红书数据检索与文案生成部分基本符合声明用途，API Key 也直接发送到同域服务，未见明显凭证窃取。但其范围超出“写作工具”：在积分不足时会安装外部支付 CLI、唤起并轮询支付宝支付状态、到账后自动重跑，属于不成比例的真实世界自动操作。整体更像高风险可疑技能而非明确恶意代码。