skill-authoring-sync

整体偏良性：能力与“中央仓库编写+发布+项目安装”目的基本一致，未见凭证收集、异常外传或隐藏行为。主要风险在于未固定版本的 `npx skills` 以及安装远端 skill 带来的转移信任链；因此应归类为 SUSPICIOUS 而非恶意。