tbro-mcp

材料明确标注无需密钥或环境变量，未见要求提供 API token、账号凭证或其他敏感认证信息，因此凭证泄露与滥用面较低。

工具功能包含 web_search 与 web_fetch，按其声明会访问外部网页资源并将结果返回，属于该类工具的常规网络外发能力。虽未声明固定远程端点，也未见不明收集端，但用户查询内容与目标网页请求预计会对外发送。

系统检查项标明其会执行代码，且描述显示依赖本地 tbro 终端浏览器工作，意味着会在本机调用相关程序或进程。这属于 MCP 工具的常规本地执行能力，当前材料未显示超出声明用途的高权限操作。

描述仅说明其抓取网页文本，未声明需要读写特定本地文件、数据库或系统资源；但作为会在本机运行的工具，实际可访问范围仍取决于运行账户与宿主配置。材料不足以证明存在过度授权，但也缺少更细的权限边界说明。

该项目为开源且采用 MIT 许可证，源码可审计，这是明显的降风险因素；但来源为第三方注册表，仓库社区采用度为 0 star、维护状态未知，公开信誉与持续维护证据较弱，因此供应链层面建议保持留意。