bruce-doc-converter

该技能的总体用途与文档转换场景基本一致，未见凭证收集、第三方网关转发或明显数据外传迹象，因此不像恶意窃密技能。但其核心问题是安装与执行信任不足：先执行本地脚本、再由脚本自动安装未明确列出的 Python/Node 依赖，且缺少包名、版本、锁定与校验说明。结论为 SUSPICIOUS：目的基本合理，但供应链透明度不足，存在中等安全风险。