UNICEF Stats MCP

材料明确标注无需密钥或环境变量，未见要求提供 API token、账号密码或其他敏感凭证，因此凭证泄露与滥用面较低。

描述称数据为“SDMX-sourced”，说明工具很可能需要联网获取 UNICEF 统计数据；虽然未声明具体远程 host，且未见无关外发端点，但网络访问细节不足，需留意实际请求目标与传输内容。

系统检查项标明会执行代码，意味着该 MCP 工具在本机运行进程或逻辑；这是工具的常规能力，本身不足以判为高风险，但应在受限环境中运行并核实其实际调用范围。

材料未说明其读写本地文件、缓存或配置的具体范围，且 README 缺失，无法确认是否仅访问统计数据资源。当前未见明确过度授权证据，但数据访问边界不透明，需进一步查看源码。

正面因素包括官方 Registry 来源、开源仓库可审计、近一年内有更新；这明显降低了风险。需留意的是许可证未声明、社区采用度较低（0 star），且文档较少，供应链透明度一般但未见明确红旗。