io.github.CSOAI-ORG/vector-knowledge-graph-mcp

材料明确标注无需密钥或环境变量，未见要求提供 API token、账户凭证或其他敏感认证信息，因此凭证暴露与滥用面较低。

材料标注无远程端点 host，README 也未声明外部 API、云服务或遥测上报目标；基于现有信息，未见明确的用户数据外发路径。

系统检查项已确认其会执行代码；作为 MCP server，通常需要在本机启动服务进程并处理代理请求。这属于此类工具的常规能力，当前材料未显示超出声明功能的系统权限申请，但仍应按本地可执行组件进行隔离运行。

描述显示其支持添加节点、添加边和语义节点，意味着会处理并可能持久化知识图谱/向量相关数据。现有材料未说明具体存储位置、文件读写范围或是否访问其他本地资源，因此需留意实际数据落盘与访问边界，但暂无过度授权红旗。

正面证据包括官方 Registry 来源、开源仓库可审计、近一年内有更新；这些因素明显降低供应链风险。需留意的是 README 基本缺失、许可证未声明、社区采用度较低（0 star），导致可审计上下文与成熟度信号有限，因此评为需留意而非高风险。