docrag

材料明确标注无需密钥或环境变量，未见 API token、账号凭证或高敏感认证信息要求，因此凭证泄露与滥用面较小。

未声明任何远程端点或外部服务依赖；按现有材料看，不存在明确的用户数据外发目标。由于 README 缺失，仍无法完全排除运行时网络行为，但目前无具体红旗。

系统检查项标明其具备 executes-code，说明作为 MCP 工具需要在本机运行代码/进程。这属于此类工具的常规能力，应注意其实际运行权限与宿主环境隔离，但仅凭此不足以上调为高风险。

其功能描述为面向技术文档的 RAG 检索，通常意味着需要读取本地或接入的文档内容；现有材料未说明具体目录、文件范围或是否写入索引数据。存在常规文档访问面，但未见超出声明用途的过度授权证据。

项目为开源且采用 MIT 许可证，源码可审计，这是明显的降风险因素；但来源为 third_party_registry，社区采用度仅 0 star，维护状态未知，且 README 缺失，导致可验证性与成熟度有限，需留意依赖与后续维护风险。