yungroai-skills

SUSPICIOUS. 技能目的与其能力基本一致：它确实是一个 YunGroAI 技能入口和安装器。但它的核心机制是通过 skills CLI 自动安装和更新其他技能，这本身带来明显的转移信任风险；且目标来源 YunGroAI/agent-skills 未能从现有证据中验证为公开可核实的同组织官方仓库。未见直接窃密、第三方凭据转发、隐藏执行或异常外传，因此不足以判定恶意；主要风险来自自动化远程技能安装、后续读取并执行新技能指令，以及对 MCP 服务身份仅按名称识别。