wecom-contact-lookup

该技能的业务目的与联系人查询能力基本一致，但其核心依赖 `wecom_mcp` 与 `wecom-preflight` 的来源、发布者关系、安装方式和实际网络终点均未验证。未发现明确恶意窃取或欺骗指令，但存在显著的供应链与转移信任风险，应判定为 SUSPICIOUS。