soia-pkm-extract-vault-knowledge

结论偏可疑而非恶意。技能声明的本地知识提炼目的与其读写 vault、去重、校验来源的能力大体匹配，未见明显外部数据回传或凭据收集；主要风险在于第三方技能/插件安装、跨技能依赖带来的传递信任，以及 `-a '*'` 通配授权超出最小权限原则。