vibe-init

整体更像一个本地项目初始化技能，能力与声明基本一致，未见明显凭证窃取或外传数据流。主要风险是：未验证的模板来源、生成后立即执行本地脚本，以及自动 git commit；因此应评为可疑但非恶意。