io.github.cyanheads/un-comtrade-mcp-server

需要 COMTRADE_SUBSCRIPTION_KEY，属于可调用外部数据服务的敏感凭证；若泄露，可能导致配额滥用或未经授权的 API 调用。MCP_LOG_LEVEL 不属于敏感凭证。

工具功能说明表明其会访问 UN Comtrade 数据服务，存在正常的联网数据外发；但材料未明确列出具体远程 host，网络目标披露不完整。基于现有材料，未见向无关第三方外发数据的明确红旗。

系统检查项标记为 executes-code，说明该 MCP 工具会在本机以进程形式运行并执行其自身逻辑。这属于 MCP 工具的常规能力；材料未显示额外系统级高权限请求或可疑执行行为。

从现有描述看，工具主要提供国际贸易统计查询，未见声明需要广泛读写本地文件、访问无关数据目录或申请过度资源权限。除读取必要环境变量外，材料未显示明显的本地数据访问扩张。

来源于官方 Registry，且为开源仓库并在近一年内有更新，这些都是明显的降风险因素；但 README 缺失、许可证未声明、社区 star 为 0，导致可审计上下文和生态验证仍偏有限，建议在部署前自行复核源码与依赖。