io.github.Anil-matcha/muapi

需要配置 MUAPI_API_KEY，属于可调用第三方生成服务的敏感凭证；若被日志、配置文件或客户端转发泄露，可能被用于消耗额度或冒用服务，但材料中未见明确的凭证滥用设计。

描述表明其通过 muapi.ai 使用 100+ AI 模型，意味着用户提示词及可能的媒体输入会被发送到远程服务；虽然“远程端点 host”未填写，但对外联网是其声明功能的一部分，且具体传输范围与后端模型路由未在材料中披露。

系统检查项标明该工具会执行代码/起本地进程；这属于 MCP 工具常见能力，本身需留意进程权限与运行环境隔离，但当前材料未显示其申请与声明功能明显不相称的系统权限。

材料未声明需要读取/写入本地文件、系统目录、浏览器数据或其他持久化资源，也未见要求广泛磁盘访问；已知数据面主要是生成任务相关输入输出，暂无过度数据访问证据。

正面因素包括：官方 Registry 来源、开源仓库可审计、近一年内有更新；风险点是 README 缺失、许可证未声明、社区采用度很低（0 star），会降低外部审查与使用成熟度，因此供应链层面宜评为需留意而非高风险。