[Geiger](https://github.com/Atomburstofficial/geiger) - `npx geiger-scan` 读取配置和目录，不安装代理、不上报遥测，也不会写入机器（除非显式输出 JSON）。示例报告把每个 agent/MCP/hook 的 `EXECUTES`、`BROAD-FILESYSTEM`、`NETWORK` 和 `HOLDS-SECRETS` 等能力并列，还能标出凭据来自哪个配置文件；这让安全审查从“我装过哪些插件”推进到“它们实际拥有何种权限”。