pkgxray — MCP-сервер для Claude Code: что делает и как установить
pkgxray проверяет npm-пакеты, MCP-серверы и расширения ИИ-агентов до установки или подключения. Он выдаёт вердикт с доказательствами.
claude mcp add pkgxray -- npx -y pkgxrayЧто делает pkgxray
pkgxray запускает локальный статический анализ и присваивает проверке один из вердиктов: SAFE, REVIEW или BLOCK. Сервер ищет кражу учётных данных, внедрение промптов, эксфильтрацию, вредоносные install-скрипты, подмену артефактов npm и другие признаки атаки. Каждая находка привязана к файлу и фрагменту доказательства.
Обычные проверки читают архив как байты и не исполняют код пакета. npm-зависимости для анализа не устанавливаются, а JavaScript разбирается встроенным закреплённым парсером Acorn. Проверять можно npm-пакеты, MCP-серверы, расширения ИИ-агентов и lock-файлы. Ограничение существенное: статический анализ не увидит полезную нагрузку, которую пакет скачивает позже, поэтому SAFE не доказывает безвредность пакета.
Какие задачи решает
- проверить npm-пакет до установки
- оценить MCP-сервер перед подключением
- найти вредоносные install-скрипты
- сопоставить npm-архив с репозиторием GitHub
- выявить подозрительный пакет в lock-файле
Примеры запросов агенту
- Проверь
npm:[email protected]до установки и покажи вердикт с доказательствами. - Просканируй этот MCP-сервер перед подключением и объясни все найденные риски.
- Проверь lock-файл проекта и перечисли пакеты, которые требуют ручного просмотра.
Как установить pkgxray
Командой платформы
claude mcp add pkgxray -- npx -y pkgxrayКомандой платформы
codex mcp add pkgxray -- npx -y pkgxrayФайл настроек
{
"mcpServers": {
"pkgxray": {
"command": "npx",
"args": [
"-y",
"pkgxray"
]
}
}
}Файл настроек
{
"servers": {
"pkgxray": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"pkgxray"
]
}
}
}Командой платформы
gemini mcp add pkgxray npx -y pkgxrayПо шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о pkgxray
Как установить pkgxray в Claude Code?
Выполните claude mcp add pkgxray -- npx -y pkgxray. После этого MCP-сервер будет добавлен в Claude Code.
Что делает pkgxray?
Он статически проверяет npm-пакеты, MCP-серверы и расширения ИИ-агентов до установки или подключения. Результат — SAFE, REVIEW или BLOCK с указанием файлов и доказательств.
Можно ли считать вердикт SAFE доказательством безопасности?
Нет. Статическая проверка не видит код, который скачивает полезную нагрузку во время выполнения.
