io.github.cyanheads/sanctions-screening-mcp-server

材料列出的环境变量为日志级别、镜像路径和模糊匹配参数，未见 API key、账号密码或令牌等高敏感凭证；主要是配置项，凭证滥用风险较低。

工具声明会连接 sanctions-screening.caseyjhand.com；结合其“筛查姓名/实体”的用途，待筛查名称或实体信息很可能被发送到该远程端点。该网络外发与功能相符，但仍应视为需要留意的数据出站行为。

系统已标记为可执行代码，说明其会作为本地 MCP 工具运行并在本机进程中处理请求。这属于此类工具的常规能力；材料未显示其申请与筛查功能明显无关的高权限系统操作。

存在 SANCTIONS_MIRROR_PATH，表明工具可能读取本地制裁名单镜像或相关文件；未见其要求广泛文件系统访问，但至少涉及对指定路径数据的本地访问。当前材料未显示明显过度授权。

正面证据包括：官方 Registry 来源、开源仓库可审计、近一年内有更新。需留意点在于 README 几乎为空、许可证未声明且社区采用度很低（0 star），这会降低可验证性，但不足以单独构成高风险红旗。