io.github.VirajMishra1/wander-agent

材料明确写明“无密钥/环境变量”，未要求 API token、账号口令或其他敏感凭证；从已给信息看，凭证泄露面较小。

声明的远程端点为“无”，但其功能包含航班、酒店、签证、天气、票价监控等，按功能推断通常需要访问外部信息源；当前文档未披露具体连接对象与数据外发范围，网络行为透明度不足。

系统客观检查项标记为 executes-code，说明该工具具备在本机执行代码/进程的能力；这属于 MCP 工具常见能力，但在缺少 README 的情况下，具体可调用的系统能力与边界不清晰。

描述提到“trip memory”，表明可能保存或读取行程相关数据；材料未说明具体读写哪些本地文件、缓存或用户数据，也未见权限边界说明，因此应视为存在常规数据访问面并留意最小授权。

正面因素包括官方 Registry 来源、开源仓库可审计且近一年有更新，这些明显降低了供应链风险；但 README 缺失、许可证未声明、社区采用度很低（0 star），审计与复核信号仍然有限。