soia-dev-doc-sync

该技能的声明用途与核心能力基本一致，运行期数据范围也较克制；但安装方式存在明显传递信任问题：它要求通过 plugin/npx 安装外部技能集合，并使用 -a '*' 通配权限。未见明确恶意或凭据窃取行为，因此不属恶意；整体应判为 SUSPICIOUS，主要风险来自供应链与过宽授权，而非文档同步任务本身。