aws-architecture-scanner

材料声明无需额外密钥/环境变量，但其“扫描 AWS 环境”的功能通常依赖本机已配置的 AWS 凭证、SSO 会话或实例角色。未见其凭证获取与最小权限范围说明，存在误用现有云凭证的常规风险。

未声明第三方远程端点，这降低了将数据外发到不明服务的风险；但按功能描述，为扫描 AWS 资源通常需要与 AWS API 通信。当前材料未列出具体区域/API 端点及传输数据范围，网络外联边界不够清晰。

系统检查项已标明 executes-code，说明该 MCP 会在本机执行代码/进程；这属于工具常规能力，应按需在受限环境运行。材料未显示其需要超出声明功能的系统级高权限，因此不足以单独评为高风险。

按描述其会读取 AWS 架构相关资源信息，如网络、计算、存储与安全配置，用于生成架构图。这属于与其功能一致的数据访问，但材料未说明是否仅读取元数据、是否会落盘缓存/输出，以及是否涉及跨账号或敏感配置细节。

正面因素是开源、可审计且采用 MIT 许可证，这明显降低了供应链不透明风险；但来源为 third_party_registry，仓库 0 star、维护状态未知，社区验证与持续维护信号较弱，使用前宜自行审查代码与依赖。