Controlla i metadati dei pacchetti npm, le vulnerabilità note e i dettagli CVE direttamente in una conversazione. Il server MCP di NPMScan fornisce agli agenti IA strumenti in sola lettura basati sul registro npm, su OSV.dev, sui GitHub Security Advisories, sulle API proprie di GitHub e sulla National Vulnerability Database del NIST: cerca pacchetti per nome o parola chiave, con numero di download, numero di pacchetti dipendenti e rilevamento del typosquatting su ogni risultato; controlla gli script di installazione, i maintainer, la licenza, le stelle GitHub e l'andamento dei download di un pacchetto prima di installarlo, oppure confronta da 2 a 5 candidati fianco a fianco con una raccomandazione deterministica; verifica una versione esatta fissata in un lockfile, oppure simula l'aggiornamento di un pacchetto prima di eseguire npm install per capire se si tratta di una patch sicura o di un aggiornamento major potenzialmente incompatibile; interroga le vulnerabilità di un pacchetto o di massimo 100 alla volta, con ogni risultato arricchito da gravità, riepilogo, alias CVE e versione corretta, invece di un semplice ID dell'avviso; verifica le dipendenze di un intero repository GitHub (compresi i workspace di un monorepo) con un'unica chiamata, oppure genera un SBOM conforme alla specifica CycloneDX/SPDX con dati su vulnerabilità e licenze incorporati; classifica i risultati di un report grezzo npm audit --json in base ai dati di sfruttamento CISA KEV/FIRST EPSS per sapere cosa correggere per primo, quindi recupera il playbook di remediation concreto e ordinato per un risultato segnalato; controlla lo storico delle pubblicazioni di un account maintainer npm alla ricerca di un pattern tipico di account compromesso, oppure recuperane il profilo di base; consulta gli ultimi avvisi npm, sia dall'insieme curato da GitHub e basato prevalentemente su CVE, sia dal suo feed di pacchetti dannosi noti, filtrabili per gravità, categoria di vulnerabilità (XSS, SQL/NoSQL injection, SSRF, controllo degli accessi, code injection e altre 15, solo per l'insieme verificato), pacchetto interessato, oppure ID GHSA/CVE esatto; e consulta dati CVSS/CWE autorevoli per qualsiasi CVE in qualsiasi ecosistema, arricchiti con lo stato Known Exploited Vulnerabilities della CISA e il punteggio di probabilità di sfruttamento EPSS di FIRST.org. Non è richiesta alcuna chiave API né autenticazione, e ogni risultato rimanda all'analisi completa su npmscan.com.