io.github.nikhilgogulwar/universalbench

材料显示无需单独配置 API key 或环境变量，未见明确索取本工具专用敏感凭证。需注意其宣称可调用 LLM、数据库和 GitHub，实际使用中可能间接接触用户其他系统凭证，但材料未说明处理方式。

会连接声明的远程端点 universalbench-mcp.penantiaglobal.workers.dev，用户提交的提示、代码、查询或执行结果可能经该服务中转。端点已声明但 README 缺失，无法确认具体传输内容、保留策略与第三方共享情况。

系统检查项已确认具备代码执行能力，且描述明确写有“Run code”。这是此类工具的常规高权限能力，应视为需留意；材料未说明沙箱、命令范围或系统隔离机制，建议按可在本机起进程/执行任务看待。

描述称可查询数据库、调用任意 LLM、提交到 GitHub，说明其可能访问用户提供的数据源、模型输入输出及代码仓库内容。未见关于本地文件读写范围、最小权限设计或数据隔离的说明，数据边界不透明。

正面因素是来自官方 Registry 且近一年有更新；但无开源仓库、无许可证声明、README 缺失，外部无法审计实现与依赖链。来源可信度对风险有一定缓解，但闭源与文档不足使供应链透明度偏低。