soia-pkm-clip-wechat-article

该技能的抓取、解析和写入 Obsidian vault 与其声明用途基本一致，未见明显恶意数据外传或凭据窃取迹象。主要风险来自安装与传递信任：它鼓励安装第三方 marketplace/plugin/skills，并通过 `npx skills add -a '*'` 请求过宽权限，且其中一条 npx 目标仓库未被当前证据直接核验，因此整体应判为可疑而非恶意。