io.github.CSOAI-ORG/agent-token-budget-mcp

材料明确标注“无”需要的密钥或环境变量，未见要求用户提供 API key、OAuth token 或其他高敏感凭证的迹象；凭证暴露面相对较低。

工具会访问远程端点 api.meok.ai，说明存在网络外发路径；但材料未说明上传数据类型、请求内容或最小化策略，因此应留意会话内容或预算相关信息是否会发送到该服务。

系统检查项显示该工具具备 executes-code 能力，意味着会在本机以 MCP 进程形式运行并执行其实现逻辑；这是此类工具的常规能力，当前材料未显示额外危险系统权限或异常执行行为。

现有材料未声明可读写特定本地目录、数据库、浏览器、云盘或其他敏感资源，也未见需要广泛文件系统授权；就已知信息看，未发现明显过度数据访问。

来源为官方 Registry，且有公开源码仓库并在近一年内更新，这些都是明显的降风险因素；但 README 缺失、许可证未声明、社区 star 为 0，导致可审计上下文和社区验证仍然有限，建议在部署前自行审阅源码与依赖。