io.github.homeassistant-ai/ha-mcp

材料明确标注无需密钥或环境变量，未见要求提供 API token、账号口令或其他敏感凭证；因此凭证暴露面较小。仍需注意其若与本地已登录的 Home Assistant 会话集成，实际认证方式需在源码或安装说明中进一步确认。

材料未声明任何远程端点，系统检查项也未显示外连目标；未见明确将用户数据发送到第三方服务的事实。若其仅与本地 Home Assistant 实例交互，则网络外发风险较低，但当前文档不足以完全证明所有通信范围。

系统已标记 executes-code，说明该工具需要在本机作为 MCP 服务进程运行。这属于此类工具的常规能力，但仍意味着其可在当前用户权限下执行程序逻辑；结合“管理 Home Assistant”的定位，建议按最小权限运行并限制宿主环境权限。

从描述看，该工具用于“管理 Home Assistant”，通常意味着可访问家庭自动化状态、设备实体、配置或控制指令。材料未见其申请超出声明功能的系统级权限，因此暂不构成高风险，但其对家庭环境数据和控制面的潜在访问应被视为需留意。

来源为官方 Registry，且有可审计的开源仓库，近一年内有更新；这些都是明显的正面证据，可显著降低供应链风险。虽然 README 缺失、许可证未声明且社区 star 较少，透明度与生态成熟度一般，但目前未见闭源、失维或可疑分发红旗。