io.github.Harusame64/desktop-touch-mcp

材料列出的环境变量均为本地行为/诊断配置项（如自动防护、感知资源、空闲时间、日志路径），未见 API key、token 或账号凭证，也未见将凭证发送到远端的描述；凭证滥用风险较低。

客观材料未声明任何远程端点，整体未见明确数据外发路径；但描述提到 Chrome CDP，通常意味着可与本机浏览器调试接口交互。当前无证据表明会把用户数据发送到不明互联网端点。

系统已标记 executes-code，且描述包含 type/click/scroll、UIA、Chrome CDP、VBA，表明其具备较强的本机自动化与潜在脚本执行能力。此类能力对桌面与应用有实际操作影响，但就 MCP 工具性质而言属常规高权限本地能力，材料中未见越权或隐藏执行红旗。

根据描述，其可截图、读取 UI 自动化信息并通过诊断日志路径写入日志，说明可接触屏幕内容、界面文本及本地日志文件；这类访问与其“computer-use”声明功能一致，暂未见索取与功能无关的额外数据权限。

来源为官方 Registry，且提供开源仓库，近一年内有更新，这些都是降低风险的正面信号。虽然社区 star 很少且许可证未声明，需自行复核仓库与依赖，但基于现有材料未见闭源外传、来源不明或明显失维等高风险红旗。