Syncro MCP

需要提供 SYNCRO_API_KEY 和 SYNCRO_SUBDOMAIN；其中 API Key 属高敏感凭证，若泄露可能被用于访问或操作 Syncro 账户/租户资源。材料未见超出其声明用途的凭证申请，但仍应按生产密钥严格保护。

材料未列出具体远程 host，但既然需要 Syncro API 凭证，通常意味着会与 Syncro 相关服务通信并可能传出用户提交的数据。当前未发现把数据外发到无关或不明第三方端点的明确红旗，但端点信息披露不足。

系统检查项明确标注 executes-code，且描述提到“in your terminal”，说明其具备在本机发起进程或执行代码/命令的能力。这属于 MCP 工具的常规高权限能力，材料中未见与声明功能明显无关的额外系统权限请求。

描述提到“a local database, offline search”，表明其会在本地存储并检索一定数据，可能涉及读写本地文件或数据库内容。现有材料未说明具体路径、数据范围或是否包含敏感业务数据，因此需留意本地数据留存与最小化配置。

来源为官方 Registry，且有可审计的开源仓库，并在近一年内更新，这些都是显著的正面信号。虽许可证未声明、社区 star 数较低，仍提示采用度一般，但基于现有信息未见明显供应链红旗。