会話の中で npm パッケージのメタデータ、既知の脆弱性、CVE の詳細をそのまま調べられます。NPMScan の MCP サーバーは、npm レジストリ、OSV.dev、GitHub Security Advisories、GitHub 自身の API、NIST の National Vulnerability Database を情報源とする読み取り専用ツールを AI エージェントに提供します:名前やキーワードでパッケージを検索すると、ダウンロード数、依存パッケージ数、そしてすべての結果に対する typosquat(なりすまし名)検出が得られます。インストール前にパッケージのインストールスクリプト、メンテナー、ライセンス、GitHub スター数、ダウンロードの推移を確認したり、2〜5 件の候補を並べて比較し決定的な推奨結果を得たりできます。ロックファイルに固定された正確なバージョンを確認したり、npm install を実行する前にアップグレードをシミュレートして、安全なパッチなのか互換性を壊しうるメジャーアップグレードなのかを見極めたりできます。1 パッケージまたは最大 100 パッケージまでの脆弱性を一括照会でき、それぞれの結果には単なるアドバイザリ ID ではなく、深刻度、要約、CVE のエイリアス、修正済みバージョンが付与されます。monorepo の workspace を含め、GitHub リポジトリ全体の依存関係を 1 回の呼び出しで監査したり、脆弱性とライセンス情報を組み込んだ仕様準拠の CycloneDX/SPDX 形式の SBOM を生成したりできます。生の npm audit --json レポートの結果を CISA KEV/FIRST EPSS の悪用データに基づいて優先順位付けし、何を最初に修正すべきかを把握したうえで、該当する問題に対する具体的で順序立った remediation playbook を取得できます。npm メンテナーアカウントの公開履歴を確認し、アカウント侵害を示唆するような公開パターンがないか調べたり、その基本プロフィールを取得したりできます。GitHub がキュレーションした主に CVE に基づくレビュー済みセットか、既知の悪意あるパッケージの malware feed のいずれかから最新の npm アドバイザリを閲覧でき、深刻度、脆弱性カテゴリ(XSS、SQL/NoSQL インジェクション、SSRF、アクセス制御、コードインジェクションなど 15 種類以上、レビュー済みのみ)、影響を受けるパッケージ、または正確な GHSA/CVE ID で絞り込めます。さらに、あらゆるエコシステムの CVE について、CISA の Known Exploited Vulnerabilities のステータスと FIRST.org の EPSS 悪用可能性スコアを加味した、権威ある CVSS/CWE データを調べられます。API キーや認証は不要で、すべての結果は npmscan.com の詳細な分析ページにリンクします。