TikTapDown

材料明确标注无需密钥或环境变量，未见要求提供账号凭证、API token 或其他敏感认证信息，因此凭证泄露与滥用面较小。

虽未声明远程端点，但其“下载视频、分析标签、发帖时间”等功能通常需要访问 TikTok 或相关网络资源。材料未披露具体连接目标、传输内容或数据最小化方式，存在常规的数据外发不透明性，需留意。

系统检查项显示该工具具备执行代码能力，说明其作为 MCP 工具会在本机运行相应程序/逻辑。此属工具常规能力，目前材料未显示超出声明用途的高权限行为，因此评为需留意而非高风险。

描述未说明具体可读写的本地文件、缓存目录或浏览器数据范围。考虑到其下载功能可能涉及本地保存内容，存在常规文件写入/临时数据处理可能，但未见要求明显过度的数据访问权限。

来源于官方 Registry，且有可审计的开源仓库，并在近一年内有更新，这些都是明显的降风险因素。虽未声明许可证且社区 star 较少，但基于现有事实未见供应链红旗。