skill-sync

该技能目的与能力大体一致：编辑 skill、提交推送、再同步安装，未见直接窃密或异常外传。但它会默认自主执行 commit/push，并通过第三方 CLI 从可变的 git 远端安装其他 skills，形成明显的转移信任与供应链风险；因此应判为 SUSPICIOUS 而非恶意。