io.github.Vorim-AI-Labs/vorim-mcp-server

材料显示需要 VORIM_API_KEY 与 VORIM_BASE_URL。API Key 属于敏感凭证，若泄露可能导致对 Vorim 服务的未授权调用；BASE_URL 还意味着连接目标可配置，应防止被错误指向非预期服务。

虽然客观检查项未给出固定远程 host，但存在 VORIM_BASE_URL，说明工具预期会向配置的 Vorim 服务发起网络请求，并可能传出身份、权限、信任分数或审计相关数据。当前材料未明确列出默认端点与传输范围，透明度有限但未见明确异常外发红旗。

系统已标注 executes-code，说明该工具具备在本机运行代码或起进程的能力。这属于 MCP 工具常见能力，本身不足以判为高风险，但应在隔离环境中运行并限制可调用的系统权限。

现有材料未说明其具体可读写的本地文件、数据库或其他资源范围，因此数据访问边界不够清晰。结合其代码执行属性，建议默认按最小权限看待；目前未见其明确申请与声明功能明显不相称的过度数据权限。

正面因素包括：官方 Registry 来源、开源仓库可审计、近一年内有更新，这些都显著降低了供应链风险。需留意的是 README 缺失、许可证未声明、社区 star 为 0，导致可审计上下文与外部验证相对有限，因此更适合评为需留意而非低风险。