Autotask

材料显示需要 AUTOTASK_USERNAME、AUTOTASK_SECRET、AUTOTASK_INTEGRATION_CODE、AUTOTASK_API_URL 等配置，其中用户名/密钥/集成码属于敏感 API 凭证；若泄露，可能被用于访问或操作 Autotask PSA 业务数据。AUTH_MODE、MCP_TRANSPORT、LOG_LEVEL 本身敏感度较低。

虽未列出固定远程 host，但 AUTOTASK_API_URL 表明工具会连接用户配置的 Autotask API 端点，并可能传输工单、公司、项目、工时等业务数据；这与其声明功能一致，属预期的数据外发，材料未显示向无关或不明第三方端点发送数据。

系统检查项标明该 MCP 工具会执行代码/运行服务进程，这是此类工具的常见能力。现有材料未表明其申请异常系统权限、执行无关命令或具备明显超出 Autotask 集成所需的本机控制能力。

按描述其可访问 Autotask PSA 中的 companies、tickets、projects、time entries 等业务对象，数据范围可能包含企业运营与客户服务记录。材料未说明会额外读取/写入本地文件或索取与该集成无关的数据权限，也未见明显过度授权迹象。

来源为官方 Registry，且有公开源码仓库，近一年内有更新，具备较好的可审计性与一定维护信号。虽 GitHub star 较少且许可证未声明，带来一定采用与合规不确定性，但基于官方来源与开源属性，供应链维度整体偏低风险。