ตรวจสอบข้อมูลเมตาของแพ็กเกจ npm ช่องโหว่ที่รู้จัก และรายละเอียด CVE ได้โดยตรงจากการสนทนา เซิร์ฟเวอร์ MCP ของ NPMScan มอบเครื่องมือแบบอ่านอย่างเดียวให้กับ AI agent โดยอ้างอิงจาก npm registry, OSV.dev, GitHub Security Advisories, API ของ GitHub เอง และ National Vulnerability Database ของ NIST ได้แก่ ค้นหาแพ็กเกจตามชื่อหรือคำค้น พร้อมจำนวนการดาวน์โหลด จำนวนแพ็กเกจที่พึ่งพา และการตรวจจับ typosquat ในทุกผลลัพธ์ ตรวจสอบสคริปต์ติดตั้ง ผู้ดูแล ใบอนุญาต จำนวนดาว GitHub และแนวโน้มการดาวน์โหลดของแพ็กเกจก่อนติดตั้ง หรือเปรียบเทียบตัวเลือก 2 ถึง 5 รายการเคียงข้างกันพร้อมคำแนะนำที่แน่นอน ตรวจสอบเวอร์ชันที่ล็อกไว้ใน lockfile อย่างแม่นยำ หรือจำลองการอัปเกรดแพ็กเกจก่อนรัน npm install เพื่อดูว่าเป็นแพตช์ที่ปลอดภัยหรือการอัปเกรดใหญ่ที่อาจทำให้ระบบเข้ากันไม่ได้ สอบถามช่องโหว่ของแพ็กเกจเดียวหรือสูงสุด 100 แพ็กเกจพร้อมกัน โดยแต่ละผลลัพธ์มีระดับความรุนแรง บทสรุป ชื่อสำรองของ CVE และเวอร์ชันที่แก้ไขแล้ว แทนที่จะเป็นเพียงรหัสประกาศเปล่าๆ ตรวจสอบ dependency ทั้งหมดของ GitHub repository (รวมถึง workspace ของ monorepo) ในการเรียกครั้งเดียว หรือสร้าง SBOM ที่ถูกต้องตามข้อกำหนด CycloneDX/SPDX พร้อมข้อมูลช่องโหว่และใบอนุญาตฝังอยู่ในตัว จัดลำดับความสำคัญของผลลัพธ์จากรายงาน npm audit --json ดิบ ตามข้อมูลการถูกโจมตีจริงของ CISA KEV/FIRST EPSS เพื่อให้รู้ว่าควรแก้ไขอะไรก่อน จากนั้นดึง remediation playbook ที่เป็นรูปธรรมและเรียงลำดับสำหรับผลลัพธ์ที่ถูกทำเครื่องหมายไว้ ตรวจสอบประวัติการเผยแพร่ของบัญชีผู้ดูแล npm เพื่อหารูปแบบที่คล้ายกับบัญชีที่ถูกบุกรุก หรือดึงโปรไฟล์พื้นฐานของบัญชีนั้น ดูประกาศ npm ล่าสุด ไม่ว่าจะเป็นชุดที่ผ่านการคัดสรรโดย GitHub ซึ่งอ้างอิง CVE เป็นหลัก หรือจากฟีดแพ็กเกจอันตรายที่รู้จัก ซึ่งกรองได้ตามระดับความรุนแรง หมวดหมู่ช่องโหว่ (XSS, การฉีด SQL/NoSQL, SSRF, การควบคุมการเข้าถึง, การฉีดโค้ด และอีก 15 หมวดหมู่ เฉพาะชุดที่ผ่านการตรวจสอบ) ชื่อแพ็กเกจที่ได้รับผลกระทบ หรือรหัส GHSA/CVE ที่แน่นอน และค้นหาข้อมูล CVSS/CWE ที่น่าเชื่อถือสำหรับ CVE ใดๆ ในอีโคซิสเต็มใดๆ ซึ่งเสริมด้วยสถานะ Known Exploited Vulnerabilities ของ CISA และคะแนนความน่าจะเป็นในการถูกโจมตี EPSS ของ FIRST.org ไม่ต้องใช้ API key หรือการยืนยันตัวตน และทุกผลลัพธ์จะลิงก์ไปยังบทวิเคราะห์ฉบับเต็มที่ npmscan.com