storyboard-generator

该技能的核心用途与 Gemini 图像生成基本一致，外部 API 目标也是 Google 官方域名，因此不像典型的第三方中间人窃密技能；但它在技能文本中直接暴露真实 API key，并把该凭证传给未验证的本地脚本执行，形成严重凭证泄露与黑箱脚本风险。总体应判定为 SUSPICIOUS，而非已确认恶意。