Consulta metadatos de paquetes npm, vulnerabilidades conocidas y datos de CVE directamente desde una conversación. El servidor MCP de NPMScan ofrece a los agentes de IA herramientas de solo lectura basadas en el registro de npm, OSV.dev, GitHub Security Advisories, la propia API de GitHub y la National Vulnerability Database del NIST: busca paquetes por nombre o palabra clave con recuentos de descargas, número de paquetes dependientes y detección de typosquatting en cada resultado; revisa los scripts de instalación, los maintainers, la licencia, las estrellas de GitHub y la tendencia de descargas de un paquete antes de instalarlo, o compara entre 2 y 5 candidatos lado a lado con una recomendación determinista; comprueba una versión exacta fijada en un lockfile, o simula la actualización de una versión antes de ejecutar npm install para ver si es un parche seguro o un cambio mayor con posibles cambios incompatibles; consulta las vulnerabilidades de un paquete o de hasta 100 a la vez, cada hallazgo enriquecido con gravedad, un resumen, alias de CVE y la versión corregida, en lugar de un simple ID de aviso; audita las dependencias de todo un repositorio de GitHub (incluidos los workspaces de un monorepo) en una sola llamada, o genera un SBOM válido según la especificación CycloneDX/SPDX con datos de vulnerabilidades y licencias incorporados; clasifica los hallazgos de un informe bruto de npm audit --json según los datos de explotación de CISA KEV/FIRST EPSS para saber qué corregir primero, y luego obtén el playbook de remediación concreto y ordenado para un hallazgo señalado; revisa el historial de publicaciones de una cuenta de maintainer de npm en busca de un patrón propio de cuenta comprometida, u obtén su perfil básico; explora los últimos avisos de npm, ya sea el conjunto curado y mayormente basado en CVE de GitHub o su feed de paquetes maliciosos conocidos, filtrables por gravedad, categoría de vulnerabilidad (XSS, inyección SQL/NoSQL, SSRF, control de acceso, inyección de código y 15 más, solo del conjunto revisado), paquete afectado o un ID exacto de GHSA/CVE; y consulta datos autorizados de CVSS/CWE para cualquier CVE en cualquier ecosistema, enriquecidos con el estado de Known Exploited Vulnerabilities de CISA y la puntuación de probabilidad de explotación EPSS de FIRST.org. No se requiere clave de API ni autenticación, y cada resultado enlaza al análisis completo en npmscan.com.