mcp-deploy

SUSPICIOUS. 该技能的总体目的与功能基本一致：部署 MCP 服务器确实需要收集 API Key/Token、写入 mcporter 配置并运行相应 MCP 进程。主要风险来自供应链与凭据转发：一是使用官方但不固定版本的 curl|sh 安装 uv；二是把 MiniMax/Gitea 凭据交给外部 MCP 包或二进制执行。未见明显的凭据外传到无关域名或隐藏行为，因此不像恶意技能，但其安装与执行信任边界偏宽，应视为中等风险。