io.github.us-all/openmetadata

材料显示需要 OPENMETADATA_HOST、OPENMETADATA_TOKEN，且还有 OPENMETADATA_ALLOW_WRITE 等控制项；其中 token 属于敏感凭证，若泄露可被用于访问对应 OpenMetadata 实例，存在常规凭证滥用风险。

虽然清单未列出固定远程端点，但提供了 OPENMETADATA_HOST，说明工具会连接用户指定的 OpenMetadata 服务并向其发送请求。基于现有材料，未见将数据外发到无关或不明第三方端点的明确红旗。

系统检查项标明该工具会执行代码/起进程，这是 MCP 工具的常规运行方式。当前材料未显示其申请异常高权限或执行与声明功能无关的系统操作。

从描述看其功能涉及 metadata、lineage、search、data quality 与 Data Contracts，意味着可访问 OpenMetadata 中的相关元数据资源；并且 OPENMETADATA_ALLOW_WRITE 暗示可能支持写操作。现有材料未见本地文件大范围读写说明，也未见明显超出声明功能的数据权限红旗。

来源为官方 Registry，且有可审计的开源仓库，近一年内有更新；这些都是明显的正面信号。虽社区 star 数较低且许可证未声明，增加了一定采用与合规不确定性，但不足以单独上升为高风险。