Quackr

需要配置 QUACKR_API_KEY，属于可调用远程短信/号码服务的敏感凭证；若泄露，可能导致账户被滥用、额度消耗或访问相关号码/短信资源。材料未显示异常索权，但应按高敏感服务密钥管理。

会连接声明端点 mcp.quackr.io，按其功能推断用户输入的号码管理请求、手机号及可能的 OTP/SMS 内容会被发送到该服务端处理。当前仅见与声明功能相关的已知端点，属常规外发，但数据敏感度较高。

系统检查项标明该 MCP 会执行代码/起本地进程；这属于此类工具的常规运行方式。现有材料未说明会申请额外系统级权限，也未见与其短信服务功能明显不相称的执行能力。

描述未声明广泛本地文件读写，但该工具业务本身会接触号码、短信与 OTP 等高敏感业务数据；如果在工作流中传入用户验证码或短信内容，应视为敏感数据处理。未见明确过度本地数据访问声明。

正面因素包括：官方 Registry 来源、开源仓库可审计、近一年有更新；这些都明显降低供应链风险。需留意的是 README 缺失、许可证未声明、社区 star 为 0，公开采用度与治理透明度仍有限，因此更适合评为需留意而非高风险。