goclaw

材料注明无需密钥或环境变量，未见 API token、云凭证或第三方账户授权要求，因此凭证泄露面较低。

未声明任何远程端点 host，材料中也未显示需要连接外部服务或将用户数据发送至第三方；基于现有事实未见明确数据外发路径。

系统检查项明确标记为 executes-code，说明其具备本机执行代码/进程能力。这属于 MCP 工具常规高权限能力，应在沙箱、容器或最小权限环境中运行。

虽未给出 README 细节，但具备代码执行能力的工具通常可间接访问本地文件、工作目录或进程上下文。当前未见其申请超出声明功能的特权，但应默认限制其可访问目录与运行身份。

来源为 GitHub 开源仓库，且约 3.2k star，属于明显的降风险因素，源码原则上可审计；但许可证未声明、维护状态未知，且提供材料极少，供应链透明度仍不完整。