io.github.CSOAI-ORG/ai-bom-mcp

材料明确标注无需密钥或环境变量，未见 API token、云账号或其他敏感凭证依赖；因此凭证泄露与滥用面较低。

未声明任何远程端点 host，现有材料也未显示需要将用户数据发送到外部服务；就已知信息看，无明确网络外发路径。

系统检查项标明其具备 executes-code 能力，说明工具可在本机执行代码/进程；这属于 MCP 工具的常规高权限能力，应在隔离环境中运行并限制可调用系统资源。

作为 AI-BOM 生成与审计工具，合理推断其需要读取本地项目或物料清单相关数据，可能也会输出结果文件；现有材料未见过度授权证据，但具体读写范围未在 README 中说明，需按最小权限控制。

正面证据包括：官方 Registry 来源、开源仓库可审计、近一年内有更新；这些均降低供应链风险。需留意的是 README 缺失、许可证未声明且社区采用度很低（0 star），会削弱透明度与外部验证强度，因此建议先审源码与依赖后再部署。