Consulte metadados de pacotes npm, vulnerabilidades conhecidas e detalhes de CVE direto na conversa. O servidor MCP do NPMScan oferece aos agentes de IA ferramentas somente leitura baseadas no registro do npm, no OSV.dev, no GitHub Security Advisories, na própria API do GitHub e na National Vulnerability Database do NIST: busque pacotes por nome ou palavra-chave, com contagem de downloads, número de pacotes dependentes e detecção de typosquatting em cada resultado; verifique scripts de instalação, mantenedores, licença, estrelas no GitHub e tendência de downloads de um pacote antes de instalá-lo, ou compare de 2 a 5 candidatos lado a lado com uma recomendação determinística; confira uma versão exata fixada em um lockfile, ou simule a atualização de um pacote antes de rodar npm install para saber se é um patch seguro ou um upgrade major com potencial de quebrar compatibilidade; consulte vulnerabilidades de um pacote ou de até 100 de uma vez, cada resultado enriquecido com gravidade, resumo, aliases de CVE e a versão corrigida, em vez de apenas um ID de aviso; audite as dependências de um repositório inteiro do GitHub (incluindo workspaces de um monorepo) em uma única chamada, ou gere um SBOM válido conforme a especificação CycloneDX/SPDX com dados de vulnerabilidade e licença embutidos; classifique os achados de um relatório bruto de npm audit --json pelos dados de exploração do CISA KEV/FIRST EPSS para saber o que corrigir primeiro, e então obtenha o playbook de remediação concreto e ordenado para um achado sinalizado; verifique o histórico de publicações de uma conta de mantenedor do npm em busca de um padrão típico de conta comprometida, ou obtenha seu perfil básico; navegue pelos avisos mais recentes do npm, seja no conjunto selecionado pelo GitHub e majoritariamente baseado em CVE, seja no feed de pacotes maliciosos conhecidos, filtráveis por gravidade, categoria de vulnerabilidade (XSS, injeção SQL/NoSQL, SSRF, controle de acesso, injeção de código e mais 15, apenas do conjunto revisado), pacote afetado, ou ID exato de GHSA/CVE; e consulte dados oficiais de CVSS/CWE para qualquer CVE em qualquer ecossistema, enriquecidos com o status de Known Exploited Vulnerabilities da CISA e a pontuação de probabilidade de exploração EPSS da FIRST.org. Não é necessária chave de API nem autenticação, e cada resultado tem um link para a análise completa em npmscan.com.