zach-lingxing-mcp

该技能整体目的与能力基本一致：围绕领星 OpenAPI 的 MCP 配置、HTTP 鉴权、固定出口和隧道排障展开。主要风险不在明显恶意数据外传，而在其实际权限面高于“low risk”标签：它要求敏感 API 凭据、允许 Bash/写文件、并调用未审计的远程部署脚本。基于现有证据，更适合判定为 SUSPICIOUS 而非 MALICIOUS：用途合理，但部署脚本与凭据流向缺少可验证细节，安全风险中等。