ext-apps

材料明确注明无需密钥或环境变量，未见要求提供 API token、账户凭证或其他敏感认证信息，因此凭证收集与滥用风险较低。

材料中未声明任何远程端点或外部主机，未见将用户数据发送到第三方服务的描述。基于现有信息，网络外发风险较低，但仍应以实际运行流量为准验证。

系统客观检查项标记为 executes-code，说明其具备本机执行代码或触发进程的能力；这是 MCP 工具的常规敏感能力。材料未显示超出声明功能的异常高权限需求，因此评为需留意而非高风险。

材料未具体说明可读写的数据范围，但作为具备代码执行能力的 MCP 工具，通常可能接触本机应用环境或相关本地资源。当前未见明确过度授权或无关数据访问的红旗，故建议谨慎审查运行时实际访问范围。

来源为 GitHub 上的 modelcontextprotocol 官方开源仓库，且社区采用度较高（约 2.4k stars），这些都是明显的降风险因素。虽未见许可证声明且维护状态未知，但基于官方来源与可审计源码，供应链整体偏低风险。