io.github.cyanheads/eia-energy-mcp-server

材料显示需配置 EIA_API_KEY，属于可访问外部数据服务的敏感凭证；其余环境变量主要是 TTL、日志和功能开关，敏感性较低。未见要求异常高权限凭证，但仍应防止 API Key 在日志、配置文件或共享环境中泄露。

已知远程端点为 eia-energy.caseyjhand.com，且工具功能本身就是浏览和查询 EIA 数据，网络外联属于其正常工作方式。材料未说明是否还会向其他第三方端点发送数据，也未明确用户查询内容是否经该主机转发，透明度不足但未见明确红旗。

系统检查项表明其会执行代码/本机起进程，这属于 MCP 工具的常规运行形态。现有材料未显示其申请超出查询 EIA 数据所需的系统级权限，也未披露可执行任意脚本或高危命令的证据。

从环境变量看可能存在本地缓存/数据保留控制（如 EIA_DATASET_TTL_SECONDS、EIA_DATAFRAME_DROP_ENABLED），说明工具可能在本地处理或暂存查询结果。材料未说明其读写的具体文件路径、范围或是否接触与任务无关的本地数据，因此需留意但暂无过度授权证据。

来源位于官方 Registry，且有开源仓库、近一年内更新，这些都是明显的正面信号。另一方面，README 缺失、许可证未声明、社区采用度很低（0 star）使可审计性和成熟度一般，因此供应链风险不高但仍建议人工复核源码与依赖。