TradeOS Public Intelligence

需要多个敏感环境变量：TRADEOS_PUBLIC_INTEL_KEY、TRADEOS_ACCOUNT_TOKEN，以及 x402 相关支付/代理/钱包标识与请求头；若泄露，可能导致账户访问、付费路由调用或交易情报接口被滥用。材料未说明凭证最小权限、存储方式或轮换机制。

虽未列出固定远程 host，但存在 TRADEOS_API_BASE 与 TRADEOS_X402_BASE_URL 两个可配置基址，说明会向外部服务发起请求；结合“market intelligence”“paid x402 SKU routing”描述，用户查询内容及相关元数据可能被发送到所配置的 TradeOS/x402 端点。当前材料未给出具体域名、数据流或隐私说明。

系统检查项标明该工具会执行代码/起进程，这属于 MCP 工具常见能力。现有材料未显示其申请异常系统权限、执行与声明功能无关的操作，故应留意运行隔离与最小权限，而非直接判定为高风险。

材料仅说明提供市场情报、证据、观察名单和反馈功能，未明确需要读写哪些本地文件、目录或其他资源；因此可合理预期会处理用户输入及可能的账户/观察名单数据，但未见要求超出声明功能的数据访问授权。由于 README 缺失，具体访问范围仍不透明。

来源为官方 Registry，且有公开源码仓库，近一年内有更新，这些都是降低风险的正面证据。虽许可证未声明、社区 star 数为 0，代表生态成熟度一般，但基于可审计性与来源可信度，目前未见明显供应链红旗。