io.github.cyanheads/mcp-ts-core

仅声明需要环境变量 MCP_LOG_LEVEL；从名称看更像日志级别配置而非敏感凭证，材料中未见 API key、token 或账号口令要求，凭证泄露与滥用风险较低。

材料明确远程端点为无，README 也未描述任何外部 API 或数据上送行为。基于现有信息，未见将用户数据外发到第三方服务的迹象。

系统检查项标记为 executes-code，说明其具备本机执行代码/起进程能力；这属于 MCP 工具的常规高权限特性。材料未给出更细的系统能力边界，因此需留意其运行上下文与最小权限配置，但仅凭此不足以上升为高风险。

作为用于构建 MCP servers 的框架，通常会接触本地工程文件、配置或运行时数据；但当前材料未列出具体读写路径、数据域或持久化机制。未见明显过度授权证据，但数据访问范围描述不足，建议部署时限制工作目录与文件权限。

来源为官方 Registry，且有可审计的开源仓库，近一年内有更新，这些都是明显的正面供应链信号。虽许可证未声明、社区 star 较少且 README 缺失，降低了成熟度判断，但不足以构成高风险红旗。