novada-mcp

材料明确标注“无”必需密钥/环境变量，未见要求用户提供 API token、账号凭证或长期敏感密钥，凭证暴露面较低。

描述写明具备 search、scrape、crawl、proxy 等联网能力，说明其会向外部网页或网络目标发起请求，并可能传出用户提供的查询词、URL 或抓取目标；但材料未列出固定远程端点，暂未见外发到不明专有服务的明确红旗。

系统检查项已标明 executes-code，且描述提到以单个 npx 命令运行 MCP server，意味着会在本机启动并执行代码。这属于此类工具的常规能力，需关注运行账户权限与宿主环境隔离，但仅凭这一点不足以上升为高风险。

现有材料未声明需要读取本地文件、写入用户目录、访问数据库或申请额外系统资源；其公开功能描述集中在网页数据获取。未见超出声明功能的本地数据访问迹象。

该项目为开源仓库且采用 MIT 许可证，可审计性较好，这是明显的降风险因素；但来源为 third_party_registry，社区采用度目前仅 0 star，维护状态未知，仍需对包发布与依赖变化保持基本供应链警惕。