Nirvana

材料明确写明“无”额外密钥或环境变量，未见要求用户提供 API token、账号密码或其他高敏感凭证；从已给信息看，凭证暴露面较小。

工具会连接声明的远程端点 mcp.nirvanahq.com；结合其“读取和更新 Nirvana 任务/项目”的功能，用户任务、标签、到期日等数据大概率会传输到该服务。这属于该类云服务工具的常规网络外发，当前未见外发到无关或不明端点的红旗。

系统检查项标明其具备执行代码/起进程能力；这意味着工具在本机侧可能运行进程以完成 MCP 交互。仅凭该常规能力不足以上升为高风险，但仍应视为需要留意的本地执行面。

从描述看，其数据访问范围主要是 Nirvana 账户内的任务与项目信息，包括 GTD 状态、标签、到期日和 capture 内容；未见声明需要读取本地文件、系统目录或其他无关资源，也未见明显过度授权迹象。

正面因素是其来自官方 Registry，且近一年内有更新；但未提供开源仓库、许可证未声明、README 缺失、社区采用度几乎为零，导致可审计性较弱。综合看属于来源有一定可信度但透明度不足，宜评为需留意。