rag_mcp

材料明确标注无需密钥或环境变量，未见 API token、账号凭证或其他敏感认证信息的配置要求，因此凭证泄露与滥用面较低。

材料标注无远程端点，描述也仅提到在本地文件夹中搜索文档；基于现有信息，未见会将用户数据发送到外部服务的证据。

系统检查项显示该工具具备执行代码能力；作为 MCP 工具，这通常意味着会在本机运行进程或执行本地逻辑。材料未显示超出其声明用途的系统权限申请，但仍应视为需留意的本地执行面。

其核心功能是搜索本地文件夹中的多格式文档，说明至少需要读取本地文档内容并建立检索索引。当前材料未说明具体目录边界、是否写入索引文件或缓存，因此应限制其仅访问必要目录。

存在公开源码仓库，具备一定可审计性，这是正面因素；但来源为 third_party_registry，许可证未声明，社区采用度为 0 star，维护状态未知，可信度与持续维护证据偏弱，需自行复核代码与依赖。