Zhiji Signal — Market Phase Detection

材料明确标注“无”密钥/环境变量要求，未见 API key、OAuth token 或其他高敏凭证需求，因此直接凭证泄露面较低；但仍应避免在工具输入中主动提供账户口令或内部令牌。

工具会访问声明的远程端点 zhiji-signal.run402.com；结合其“实时市场阶段检测”功能，用户输入或查询参数很可能会被发送到该服务处理。当前无 README/源码说明具体上传字段、保留策略或是否含遥测，因此需留意数据外发边界，但仅连接其声明端点本身不足以判为高风险。

系统检查项显示该工具具备 executes-code 能力，说明会在本机启动进程或执行代码。这属于 MCP 工具常见能力，默认应视为需留意；但材料未显示其申请异常系统权限、持久化驻留或与声明功能明显无关的执行行为，因此暂无明确高风险红旗。

文档未说明具体可读写哪些本地文件、目录或其他资源，数据访问范围披露不足。鉴于其可执行代码，理论上运行时可能接触到调用环境中的输入数据或本地上下文；不过材料未证明存在超出功能所需的大范围文件读写或过度授权，因此评为需留意而非高风险。

正面因素是其来自官方 Registry，且近一年内有更新，这些都应下调风险判断；但未提供开源仓库、许可证也未声明，源码无法审计，社区公开采用度也较弱（0 star）。综合来看供应链可信度中等，主要问题是闭源与透明度不足，因此为需留意。