wecomcli-get-todo-list

该技能的业务目的与功能基本一致，但核心执行完全依赖一个无法验证来源的外部 `wecom-cli` 黑盒二进制，并可能向其转交企业微信认证信息；再加上强制调用另一技能，形成额外信任链。未发现明确恶意或外泄端点证据，但整体应判为可疑且高风险，而非确认恶意。