io.github.Armigerous/dependency-freshness-mcp

材料明确标注无需密钥或环境变量，未见要求提供 API token、账号凭证或其他敏感认证信息，因此凭证泄露与滥用面较小。

工具会访问声明的远程端点 peppy-weekend--dependency-freshness-mcp.apify.actor，用于查询 npm/PyPI 新鲜度信息。该类联网属于其声明功能的常规能力，但用户查询内容可能被发送至该第三方服务，需留意外发数据范围。

系统检查项显示该工具具备 executes-code 能力，说明会在本机环境中启动进程或执行代码。对于 MCP 工具这属于常见能力；当前材料未显示其申请明显超出用途的系统权限，但仍应在受限环境运行。

材料未声明需要读写本地文件、访问数据库、浏览器、剪贴板或其他敏感资源；其描述聚焦于依赖版本与变更信息查询。基于现有信息，未见明显过度数据访问范围。

正面因素是其来自官方 Registry，且近一年内有更新；但未提供开源仓库与许可证，源码不可审计，社区采用度也很低（0 star）。综合看供应链透明度不足，建议按中等谨慎对待而非直接判为高风险。