VisionPower

材料明确标注“需要的密钥/环境变量：无”，当前未见要求用户提供 API key、token 或其他敏感凭证的迹象，凭证暴露面较低。

虽标注“远程端点 host：无”，但描述称其通过“OpenAI-compatible vision model”分析本地图片、URL 或 base64 图像，这意味着相关图像数据在某些部署方式下可能被发送至模型服务；当前文档未清晰披露具体连接对象与数据流。

系统检查项明确包含 executes-code，说明该 MCP 工具会在本机运行服务或相关代码。这属于此类工具的常规能力，需注意其实际运行权限与宿主环境隔离情况。

描述表明其可分析本地图片、图片 URL 与 base64 图像，因此至少会接触用户提供的图像内容及相关输入数据。基于现有材料，未见其申请超出声明功能的明显过度访问，但可访问范围与默认读取路径未详细说明。

正面因素是其开源且采用 MIT 许可证，源码原则上可审计，这显著降低了供应链不透明风险；但来源为 third_party_registry，社区采用度为 0 star，维护状态未知，README 缺失，整体可信度与可审计深度仍有限。