io.github.CSOAI-ORG/agent-cost-allocator-mcp

材料明确标注“无”必需密钥/环境变量，未见要求用户提供 API key、OAuth token 或其他敏感凭证；基于现有信息，凭证泄露面较小。

已知会访问远程端点 api.meok.ai，说明存在网络外发路径；但材料未说明具体上传何种数据、用途及数据最小化策略，因此需留意是否会将成本归因相关输入或元数据发送至该服务。

系统检查项显示其具备 executes-code 能力，意味着会在本机运行 MCP 服务或相关代码。该能力属于此类工具常见特性，但当前文档缺失，无法进一步确认是否调用额外系统能力。

第三方描述与 README 几乎为空，未明确声明可读写哪些本地文件、目录或其他资源，因此数据访问范围不可充分核实。未见过度授权的明确红旗，但透明度不足，建议按最小权限假设审慎部署。

正面因素包括官方 Registry 来源、开源仓库、近一年内更新；这些都显著降低了供应链风险。需留意的是 README 缺失、许可证未声明、社区采用度低（0 star），使可审计性和成熟度证据相对有限。