io.github.cyanheads/devops-status-mcp-server

材料中仅见 MCP_LOG_LEVEL、DEVOPS_STATUS_ALLOW_PRIVATE_TARGETS、DEVOPS_STATUS_DISABLE_ACTIVE_PROBES 这类环境变量，均更像运行配置开关而非 API key 或账户凭证；未见要求敏感令牌，凭证泄露与滥用风险较低。

工具声明会连接 devops-status.caseyjhand.com，且功能描述包含状态页、TLS 证书检查、DNS 传播检查，说明其会对外发起网络请求，并可能探测用户提供的目标。DEVOPS_STATUS_ALLOW_PRIVATE_TARGETS 表明若启用，可能访问私有/内网地址，因此应限制目标范围并关注外发内容。

系统已标记 executes-code，说明其会在本机以 MCP 工具形式运行并执行检查逻辑。这属于此类工具的常规能力；现有材料未显示超出声明用途的系统权限申请，但仍应在受限环境中运行。

从描述与现有材料看，工具主要访问网络目标的状态、证书与 DNS 信息，未见声明需要广泛读写本地文件、数据库或用户目录。当前没有过度数据访问的明确证据，但私有目标探测可能涉及内部服务元数据。

来源在官方 Registry，且开源、近一年内有更新，这些都是明显的降风险因素；但 README 缺失、许可证未声明、社区采用度很低（0 star），使可审计背景与外部验证相对有限，供应链信心中等偏谨慎。