io.github.cyanheads/federal-reserve-mcp-server

需要配置 FRED_API_KEY，属于可用于访问外部数据服务的敏感凭证；若泄露，可能被滥用于调用 FRED API。其余环境变量多为配置项而非高敏凭证，但仍应避免在日志或共享配置中暴露。

工具功能本身依赖访问 FRED API 获取远程经济数据，且存在 FRED_BASE_URL 可配项，说明会发生对外网络请求。材料未列出固定 host，未见将用户数据发送到无关第三方的证据，但应核实 BASE_URL 未被改指向非预期端点。

系统检查项显示其具备执行代码/运行进程能力，这对 MCP 服务属常规能力。现有材料仅说明其用于搜索和抓取时间序列，未见申请超出声明用途的系统级高权限或可疑执行行为证据。

从环境变量看，工具可能在本地保留缓存或数据处理状态（如 TTL、dataframe drop 配置），并在运行中处理检索到的经济数据。材料未说明会广泛读取用户文件或申请过度数据访问，当前未见超范围访问红旗。

来源于官方 Registry，且有开源仓库，近一年内有更新，这些都明显降低供应链风险。虽社区 star 较少且许可证未声明，仍建议审阅源码与依赖锁定情况，但基于现有证据整体可审计性较好。