Conveo

材料显示无需额外密钥或环境变量，未见要求用户提供 API token、云凭证或高敏感认证信息，因此显性凭证泄露面较小。

工具会访问 app.conveo.ai，这与其“研究平台”定位一致，用户输入的研究内容、访谈文本或分析结果可能被发送到该官方服务端处理。已知外发目标明确，但仍应按云端数据传输看待。

系统检查项表明该工具具备 executes-code 能力，意味着会在本机启动进程或执行程序。此类能力对 MCP 工具属常规风险面，当前材料未说明具体可调用的系统能力，建议在受限环境中运行。

描述涉及研究设计、访谈分析与洞察生成，通常会处理用户上传或输入的文本数据。材料未说明具体文件读写范围，也未显示明显超范围授权，但考虑到功能特性，应假设其可能接触较敏感的研究资料。

正面因素是其来自官方 Registry，且近一年有更新；但无开源仓库、无许可证声明、社区可见采用度低，导致外部可审计性较弱。综合来看来源并非明显可疑，但供应链透明度不足，宜评为需留意。