find-skills

SUSPICIOUS：目的与能力基本一致，且 `skills` CLI 来源可验证为官方同生态工具；但该 skill 的核心行为是引导安装第三方 skills，构成明显的传递信任与供应链扩展风险。它本身不像恶意窃密，但会把代理权限暴露给后续未独立审查的第三方 skill，因此应按中高风险处理。