io.github.malkreide/hn-tech-signal-mcp

材料声明无需任何密钥或环境变量，未见 API token、账号凭证或额外敏感认证信息要求，因此凭证泄露与滥用面较小。

声明中未列出任何远程端点，现有材料也未显示会把用户数据发送到第三方服务；基于已知事实未见明确外发路径，但由于 README 缺失，网络行为披露不充分。

系统已标记该工具具备 executes-code，说明会以本地 MCP 服务器/进程形式运行代码。这属于此类工具的常规能力，本身不构成高风险，但应按最小权限原则运行并隔离执行环境。

材料未说明其可读写的文件、目录或其他本地资源范围，因此暂未见明确过度授权证据；但作为本地执行的 MCP 工具，理论上其可访问范围取决于宿主进程权限，需控制运行账户与工作目录。

正面证据包括：官方 Registry 来源、开源仓库可审计、近一年内有更新。需留意之处是 README 缺失、许可证未声明、社区采用度很低（0 star），这会降低透明度与成熟度，但不足以单独构成高风险。