io.github.cyanheads/nhtsa-vehicle-safety-mcp-server

材料仅显示需要环境变量 MCP_LOG_LEVEL，这通常是日志级别配置而非敏感凭证；未见要求 API key、OAuth token 或其他高敏感认证信息，凭证滥用风险低。

工具会连接远程端点 nhtsa.caseyjhand.com 以执行 VIN 解码、召回和安全信息查询；这属于其声明功能所需的常规联网行为，但查询内容可能被发送到该端点，仍应核实其隐私处理与实际后端归属。

系统检查项表明该工具会在本机执行代码/起进程，这属于 MCP 工具的常见运行方式。现有材料未显示其申请异常系统权限或执行与声明功能无关的高危操作。

描述与材料未说明其具体文件读写范围，因此本地数据访问边界不够透明。根据已知信息，仅能确认其具备 MCP 工具常见的数据处理能力，未见明确过度授权证据，但建议按最小权限运行。

正面因素包括官方 Registry 上架、开源仓库可审计、近一年有更新，这些都降低了供应链风险。需留意的是 README 缺失、许可证未声明且社区采用度很低（0 star），会削弱可审计性与成熟度判断，但不足以单独构成高风险。