Quash — Mobile App Automation

需要 QUASH_API_TOKEN，属于敏感凭证；另外 QUASH_SIDECAR_CMD 与 QUASH_TEST_GEN_AGENT_CMD 虽非传统密钥，但会影响实际执行的本地命令，若配置被篡改可能带来滥用或错误执行风险。

材料未声明远程端点，系统检查项也标注 host 为无，未见明确向第三方外发数据的事实；但存在 API Token 需求，说明可能涉及认证通信，文档未披露具体目的地与传输内容，网络边界透明度不足。

系统已标记 executes-code，且通过 QUASH_SIDECAR_CMD、QUASH_TEST_GEN_AGENT_CMD 可在本机启动进程；这属于 MCP 工具的常规高权限能力，应限制为固定可审计命令并避免让模型任意拼接执行参数。

描述显示其可驱动本地连接的 Android/iOS 设备进行自动化，因此可能接触测试过程中的应用界面、输入内容或设备状态；但材料未说明可读写哪些本地文件、日志或设备数据，当前看不出明显越权，但数据范围披露不足。

正面因素包括官方 Registry 来源、开源仓库可审计、近一年内有更新，这些都明显降低供应链风险；但仓库 star 为 0、许可证未声明、README 缺失，社区验证与合规信息较弱，因此更适合评为需留意而非低风险。