Проверяйте метаданные npm-пакетов, известные уязвимости и данные о CVE прямо в диалоге. MCP-сервер NPMScan предоставляет ИИ-агентам инструменты только для чтения на основе реестра npm, OSV.dev, GitHub Security Advisories, собственного API GitHub и National Vulnerability Database (NVD) от NIST: ищите пакеты по названию или ключевому слову — каждый результат содержит число загрузок, количество зависимых пакетов и проверку на тайпсквоттинг (typosquat); проверяйте install-скрипты, мейнтейнеров, лицензию, число звёзд на GitHub и динамику загрузок пакета перед установкой, либо сравнивайте от 2 до 5 кандидатов бок о бок с детерминированной рекомендацией; проверяйте точную версию, зафиксированную в lock-файле, либо симулируйте обновление пакета перед запуском npm install, чтобы понять, безопасный ли это патч или мажорное обновление с возможными breaking changes; запрашивайте уязвимости для одного пакета или сразу для 100 — каждая находка обогащена уровнем серьёзности, кратким описанием, алиасами CVE и версией с исправлением, а не просто голым ID advisory; проверяйте зависимости целого репозитория GitHub (включая workspaces монорепозитория) за один вызов, либо генерируйте соответствующий спецификации SBOM в формате CycloneDX/SPDX со встроенными данными об уязвимостях и лицензиях; ранжируйте находки из «сырого» отчёта npm audit --json по данным об эксплуатации CISA KEV/FIRST EPSS, чтобы понять, что чинить в первую очередь, а затем получайте конкретный, упорядоченный playbook по устранению для отмеченной находки; проверяйте историю публикаций аккаунта мейнтейнера npm на признаки, характерные для взломанного аккаунта, либо получайте его базовый профиль; просматривайте последние рекомендации npm — либо из отобранного GitHub, преимущественно основанного на CVE набора, либо из его ленты известных вредоносных пакетов — с фильтрацией по серьёзности, категории уязвимости (XSS, SQL/NoSQL-инъекции, SSRF, контроль доступа, инъекция кода и ещё 15, только для проверенных), затронутому пакету или точному идентификатору GHSA/CVE; и получайте авторитетные данные CVSS/CWE для любого CVE в любой экосистеме, дополненные статусом Known Exploited Vulnerabilities от CISA и оценкой вероятности эксплуатации EPSS от FIRST.org. Ключ API или аутентификация не требуются, и каждый результат содержит ссылку на полный разбор на npmscan.com.