io.github.geraservicesuk/mcp-geracompliance

材料显示需要 GERACOMPLIANCE_API_URL 环境变量。该项更像服务地址而非常见密钥，但若其中嵌入认证信息或指向私有服务，仍存在泄露和误配风险；文档未说明是否还需其他认证凭据。

工具名称和环境变量表明其可能连接用户指定的合规服务 URL，但材料未列出固定远程 host，也未说明会发送哪些数据。当前仅能判断存在潜在网络外发能力，未见指向不明第三方端点的明确红旗。

系统检查项明确标记为 executes-code，说明该 MCP 会在本机运行代码/进程。这属于工具常规能力，但 README 缺失，无法进一步确认是否会调用额外系统命令或高权限能力。

描述称可进行合规检查、审计和生成政策，按功能推断可能接触用户提供的文档、配置或审计材料。材料未说明具体可读写哪些本地文件或资源，也未见申请明显超出声明用途的数据权限。

来源为官方 Registry，且有公开开源仓库、近一年内有更新，可审计性和来源可信度较好。虽然 README 缺失、许可证未声明且社区 star 很少，透明度仍有限，但目前不足以构成高风险红旗。