io.github.ClawCall-Dev/clawcall

需要提供 CLAWCALL_API_KEY 与 CLAWCALL_BASE_URL，均属于可用于访问远程服务的敏感配置；若泄露，可能导致服务被滥用或请求被重定向到非预期地址。材料未说明密钥作用域、最小权限或存储方式。

工具用途为 AI 驱动的美国电话呼叫，结合需要 BASE_URL 可判断会向远程服务发起网络请求并可能传出通话相关内容。客观检查中未列出固定远程 host，且 README 缺失，导致实际外发目标、传输数据类型和是否可被自定义 BASE_URL 改写都不透明。

系统检查项明确标记为 executes-code，说明该 MCP 具备在本机启动进程或执行代码的能力；这属于此类工具的常规高权限面，应在受限环境中运行。现有材料未显示其会申请超出电话调用场景的异常系统权限，因此不足以直接定为高风险。

材料未说明可读写哪些本地文件、日志、联系人或通话记录，也未给出最小数据访问边界。由于其具备代码执行能力且服务场景涉及电话交互，默认应假设可能接触用户输入与运行环境中的相关数据，但暂无证据表明存在明显过度授权。

来源为官方 Registry，且有公开源码仓库、近一年内有更新，具备可审计与持续维护的正面信号。虽然社区采用度较低（0 star）且许可证未声明，降低了成熟度判断，但不足以构成明确供应链红旗。