com.pulsemcp/monarch-money

材料显示需要 MONARCH_SESSION_TOKEN、邮箱、密码、TOTP、邮箱 OTP 及会话口令等高敏感凭证，可直接关联金融账户登录与会话维持；一旦泄露，存在账户接管或财务数据被访问/操作的风险。

未声明远程端点 host，但该工具的功能描述为管理 Monarch Money 账户、交易和预算，且需要登录类凭证，通常意味着会与其对应在线服务通信并传输财务相关数据；由于材料未列出具体域名，网络外发范围透明度不足，需留意。

系统检查项表明该 MCP 工具会在本机执行代码/起进程。这属于 MCP 工具常见能力，当前材料未见其申请与声明功能明显不相称的额外系统权限，但仍应在受控环境中运行。

其声明功能直接涉及账户、交易、预算等高敏感财务数据，并存在 MONARCH_STATE_DIR 等本地状态目录配置，说明可能在本地读写会话或状态信息；从材料看属于实现该功能的常规数据访问，未见超范围授权红旗，但数据敏感度高。

来源为官方 Registry，且有可审计的开源仓库，近一年内有更新，这些都是明显的正面信号。虽然 README 缺失、许可证未声明且社区 star 较低，降低了透明度与成熟度判断，但在现有材料下未见明确供应链高风险红旗。