io.github.CSOAI-ORG/firmware-attestation-mcp

材料明确标注“无”密钥/环境变量要求，未见 API token、账号凭证或第三方授权信息，因此凭证泄露与滥用面较小。

材料明确标注“无”远程端点 host，且未描述向外部服务上传扫描结果或用户数据；基于现有材料，未见明确的数据外发路径。

系统检查项显示该工具会执行代码；结合“固件扫描/证明”用途，合理推测会在本机调用底层检测逻辑或系统能力。此属 MCP 工具常见能力，但应注意其具体调用的进程、权限边界与是否需要高权限执行。

其声明功能是“扫描固件、检查…”，通常意味着需要访问本机硬件/固件相关信息，可能涉及读取系统设备、固件版本或平台测量数据。材料未提供 README 与权限细节，暂未见明显过度授权证据，但访问范围不够透明。

正面因素包括：官方 Registry 来源、开源仓库可审计、近一年有更新。需留意之处是 README 缺失、许可证未声明、社区采用度低（0 star），导致可审计上下文与外部验证不足；综合看更适合定为需留意而非高风险。