Consultez les métadonnées des paquets npm, les vulnérabilités connues et les détails CVE directement depuis une conversation. Le serveur MCP de NPMScan fournit aux agents IA des outils en lecture seule basés sur le registre npm, OSV.dev, les GitHub Security Advisories, l'API propre de GitHub, et la National Vulnerability Database du NIST : recherchez des paquets par nom ou mot-clé, avec le nombre de téléchargements, le nombre de paquets dépendants et une détection de typosquatting sur chaque résultat ; inspectez les scripts d'installation, les mainteneurs, la licence, le nombre d'étoiles GitHub et la tendance des téléchargements d'un paquet avant de l'installer, ou comparez 2 à 5 candidats côte à côte avec une recommandation déterministe ; vérifiez une version exacte figée dans un lockfile, ou simulez la mise à niveau d'un paquet avant d'exécuter npm install pour savoir s'il s'agit d'un correctif sûr ou d'une montée de version majeure potentiellement incompatible ; interrogez les vulnérabilités d'un paquet ou de jusqu'à 100 à la fois, chaque résultat étant enrichi d'un niveau de gravité, d'un résumé, d'alias CVE et de la version corrigée plutôt que d'un simple identifiant d'avis ; auditez les dépendances de tout un dépôt GitHub (y compris les workspaces d'un monorepo) en un seul appel, ou générez un SBOM valide selon la spécification CycloneDX/SPDX avec les données de vulnérabilités et de licences intégrées ; classez les résultats d'un rapport brut npm audit --json selon les données d'exploitation CISA KEV/FIRST EPSS pour savoir quoi corriger en premier, puis récupérez le playbook de remédiation concret et ordonné pour un résultat signalé ; vérifiez l'historique de publication d'un compte mainteneur npm à la recherche d'un profil de type compte compromis, ou récupérez son profil de base ; parcourez les derniers avis npm, qu'il s'agisse de l'ensemble sélectionné par GitHub et majoritairement basé sur des CVE, ou de son flux de paquets malveillants connus, filtrables par gravité, catégorie de vulnérabilité (XSS, injection SQL/NoSQL, SSRF, contrôle d'accès, injection de code et 15 autres, uniquement pour l'ensemble vérifié), paquet concerné, ou identifiant GHSA/CVE exact ; et consultez des données CVSS/CWE faisant autorité pour n'importe quel CVE, quel que soit l'écosystème, enrichies du statut Known Exploited Vulnerabilities de la CISA et du score de probabilité d'exploitation EPSS de FIRST.org. Aucune clé API ni authentification n'est requise, et chaque résultat renvoie vers l'analyse complète sur npmscan.com.