nestjs-langgraph-mcp

材料注明无需密钥或环境变量，当前未见要求提供 API token、账号凭证或其他敏感认证信息，因此凭证暴露面较低。

未声明固定远程端点，且通过 stdio 作为 MCP 传输；但描述称支持 OpenAI 和 Ollama 模型，若启用相关集成，提示词或任务数据可能被发送到外部模型服务。材料未明确数据流向与默认网络行为，需留意。

系统检查项已标注 executes-code，且描述明确提到 tool execution 与 agent workflows，说明其具备在本机触发工具/代码执行的常规能力。这属于此类工具的固有风险点，建议限制运行权限与执行范围。

材料未列出具体可读写的文件、目录或资源范围，但具备工具执行能力通常意味着可能间接访问本地数据。当前未见明确过度授权要求，但在权限边界不清晰的情况下应按最小权限部署。

有开源仓库可供审计，这是降低风险的积极因素；但来源为 third_party_registry，仓库 0 star、许可证未声明、维护状态未知，社区验证与合规信息偏弱，供应链可信度一般。