io.github.CSOAI-ORG/unit-converter-ai-mcp

材料明确标注无需密钥或环境变量，未见 API token、账号凭证或高敏感认证信息需求，因此凭证泄露与滥用面较小。

材料标注无远程端点，描述中也未见联网调用、数据上传或第三方服务依赖；基于现有信息，未发现将用户数据外发到外部网络的事实依据。

系统客观检查项标注为 executes-code，说明该工具需在本机作为 MCP 服务运行并执行代码。这属于此类工具的常规能力，当前材料未显示超出单位换算所需的异常系统权限申请，但仍应按最小权限运行。

第三方材料未说明需要读取或写入特定文件、目录、数据库或其他本地资源；但作为本机运行的 MCP 工具，理论上会继承宿主进程可见的基础访问面。未见明确过度授权证据，信息披露不足本身值得留意。

正面因素包括官方 Registry 上架、开源仓库可审计、近一年内有更新；这些明显降低供应链风险。需留意之处是 README 缺失、许可证未声明、社区采用度很低（0 star），使可审计性与成熟度评估受限，但不足以单独判为高风险。