team-init

该技能的核心本地文件读写与团队创建功能基本符合“初始化团队”目的，但远程角色安装与复用路径显著扩大了信任边界：它接受用户提供的 GitHub/npx 来源、委托另一技能安装、再将角色内容注入高权限代理。未见明确恶意或直接凭据窃取，因此更像高风险/可疑而非恶意技能。