spec-init

整体更像仓库内的本地 SDLC 初始化技能，目的与能力大体一致，未见明显凭证窃取或外传数据行为，因此不构成恶意内容。主要风险来自执行未展示的 repo 本地脚本、自动调用下一个技能形成信任链，以及成功后删除源文件的破坏性副作用；综合判断为 SUSPICIOUS 偏中风险而非 MALICIOUS。