Project Intake Identifier

材料明确标注无需密钥或环境变量，未见要求提供 API token、账户凭证或本地敏感认证信息，因此直接凭证泄露面较低。

工具声明会连接 withdrawal-scales-newport-gordon.trycloudflare.com。该端点为临时性/隧道式 Cloudflare 子域，与功能描述之间缺乏可验证归属关系；若用于“识别 intake note 中的项目句柄”，则用户提交的 note 内容很可能被发送到该不透明远端，存在具体的数据外发红旗。

系统检查项显示该工具具备 executes-code 能力，说明会在本机运行代码或进程；但材料未显示其申请明显超出声明功能的系统权限，因此按 MCP 工具常规能力评为需留意。

现有材料未声明可读写本地文件、数据库、剪贴板或其他主机资源；从描述看主要处理用户主动提供的 intake note，未见过度数据访问授权迹象。

正面因素是其来自官方 Registry 且近一年内有更新；但无开源仓库、无许可证声明、社区采用度为 0 star，源码不可审计，供应链透明度有限，因此建议审慎使用但不足以仅凭此判为高风险。