gjalla

材料标明无需密钥或环境变量，未见要求用户提供 API token、账号口令或其他高敏感凭证，因此凭证泄露与滥用面较低。

系统检查项显示其会访问远程端点 gjalla.io，说明存在网络数据外发路径。现有文档未说明具体上传哪些用户数据或代码上下文，因此应假设任务内容或工程元数据可能被发送到其声明端点并保持留意。

系统已明确标注 executes-code，说明该工具具备在本机执行代码或拉起进程的能力。这属于同类 MCP 工具的常规高权限特性；当前材料未见超出声明用途的异常系统权限申请，但使用时仍应在受控环境中运行。

从“为 AI coding agents 提供生产就绪能力”的描述以及其执行代码特性推测，工具大概率会读取本地项目或相关运行数据。材料未给出精确的文件/目录访问范围，也未显示明显过度授权，因此更适合定为需留意。

正面证据包括：官方 Registry 来源、开源仓库可审计、近一年内有更新，这些都显著降低了供应链风险。需留意之处是 README 几乎缺失、许可证未声明、社区 star 为 0，导致外部审计与成熟度信号有限，因此评为需留意而非低风险。