skill-sync

该 skill 的核心能力与“同步 skill 到远端和多 Agent 环境”的声明基本一致，未见明显凭证窃取或隐藏外传。主要风险在于：默认自动 commit/push/全局安装，多 Agent 广泛落地，以及通过 `npx skills add` 安装远端 skill 形成转移信任链；再加上未固定 CLI 版本，整体应判为可疑但非恶意。