io.github.cyanheads/secedgar-mcp-server

所需环境变量为 EDGAR_USER_AGENT 与 MCP_LOG_LEVEL；前者通常是向 SEC/服务端标识请求方的 User-Agent，后者为日志级别，均不像 API key/secret 那样属于高敏感凭证。材料未显示存在可直接滥用的高价值令牌。

工具声明会访问 secedgar.caseyjhand.com 以查询 SEC EDGAR/XBRL/公司数据，属于其功能所需的正常网络外联。材料未表明会向未声明或无关端点外发数据，但用户查询内容预计会发送到该远程服务。

作为 MCP 工具，它需要在本机以进程形式运行并执行其服务端代码，这是此类工具的常规能力。提供材料未显示其会申请与声明功能明显不相称的额外系统权限。

现有描述仅显示其用于查询远程 SEC/EDGAR 数据，未见 README 或安装说明声明需要读写本地文件、数据库或其他敏感资源。基于材料事实，未发现明显过度的数据访问范围。

来源为官方 Registry，且有可审计的开源仓库，并在近一年内更新，这些都明显降低了供应链风险；但许可证未声明、社区采用度较低（0 star），外部审视与成熟度信号相对有限，因此仍建议留意版本与依赖变化。