com.pulsemcp/google-calendar

需要 GCAL_SERVICE_ACCOUNT_CLIENT_EMAIL、GCAL_SERVICE_ACCOUNT_PRIVATE_KEY、GCAL_IMPERSONATE_EMAIL 等敏感配置；其中服务账号私钥一旦泄露，可能被用于访问或操作被授权范围内的 Google Calendar 数据，且 domain-wide delegation 会放大误配置影响。

材料未列出自定义远程 host，但其声明功能是 Google Calendar 集成，合理推断会向 Google Calendar/Google API 发送日历相关数据与请求；这属于与声明功能一致的常规外发，未见指向不明或无关端点的证据。

作为 MCP 工具会在本机运行服务进程并执行其实现代码，这是该类工具的常规能力；现有材料未显示其申请超出日历集成功能所需的额外系统级执行权限。

其预期访问对象是 Google Calendar 数据，并可通过 impersonation 代表指定账号操作；若管理员授予过宽的 Workspace 委派范围，理论上可触达多个用户日历，因此应严格限制作用域与被模拟账户范围。

来源为官方 Registry，且有可审计的开源仓库，近一年内有更新；虽然社区 star 较少且许可证未声明会略增不确定性，但未见闭源、不明来源或明显失维等高风险供应链红旗。