SEC EDGAR

材料仅显示需要 SEC_USER_AGENT 环境变量；这更像访问 SEC 公开资源所需的标识头，而非高敏感 API 密钥。描述未见申请额外令牌、OAuth 权限或明显的凭证滥用设计。

工具功能本身依赖查询 SEC EDGAR 公开数据，因而预计会发生对外网络请求；虽然材料未列出具体 host，也未见无关第三方端点，但用户查询内容仍可能被发送到对应公开数据源，需按常规联网工具看待。

系统检查项明确标注为 executes-code，说明该 MCP 会在本机启动进程或执行其服务代码。这属于 MCP 工具常规能力，当前材料未显示其申请超出声明用途的系统级高权限。

描述聚焦于 SEC filings、XBRL financials 和全文检索，未声明需要读取本地文件、写入磁盘、访问数据库或接触无关用户数据。基于现有材料，未见明显过度数据访问范围。

正面证据包括官方 Registry 来源、开源仓库可审计且近一年内有更新，这些明显降低了供应链风险；但 README 缺失、许可证未声明、社区采用度很低（0 star），使可验证性与成熟度仍有限，宜保持留意。