MCP Office Word

材料列出的 WORD_ALLOWLIST_ROOTS、WORD_ENABLE_WRITE、WORD_ENABLE_COM 更像本地配置开关/范围限制，而非传统 API 密钥或外部凭证；未见需要云端 token。凭证滥用风险较低，但若配置过宽的允许目录或启用写入/COM，可能扩大本地操作面。

材料明确远程端点为无，且未见需要连接外部服务的描述；基于现有信息，未发现将用户文档数据外发到第三方网络端点的迹象。

系统检查项标记为 executes-code，结合“Windows-first”及 WORD_ENABLE_COM，可推断其会在本机调用 Word/COM 或相关进程以完成文档组装、修订和导出。这属于此类办公自动化工具的常规本地执行能力，需注意仅在受控环境启用 COM/自动化。

工具功能涉及文档组装、修订和导出，说明其需要读取文档；若启用 WORD_ENABLE_WRITE，则还可修改/输出文件。WORD_ALLOWLIST_ROOTS 提供了目录范围限制，这是正面控制；当前未见明显超出其声明功能的数据访问红旗，但应避免把允许目录设得过大。

来源为官方 Registry，且有公开开源仓库、近一年内更新，具备可审计性和一定维护信号，这些都是降低风险的正面证据。社区 star 数较低、许可证未声明，说明生态成熟度一般，建议在接入前做一次代码与依赖复核，但不足以单独升为高风险。