lurq

$ lurq verify lodahs
lodahs  ✗ do not install 0.0.1-security (latest) without review
  • name closely mimics "lodash" — possible typosquat
  • 1 critical/high advisory(ies) recorded against this package
risk flags: possible-typosquat-of:lodash, low-downloads, single-maintainer, has-known-advisory

$ lurq verify zod
zod  ✓ no supply-chain problems found in 4.6.4 (latest)
weekly dl:  209.2M   confidence: proven   advisories: 0

$ lurq compat next @auth/core next-auth
next + @auth/core + next-auth  conflict
peer-deps  next-auth needs peer @auth/[email protected], but the stack uses @auth/[email protected]

モックではなく、実際の出力です。エージェントは MCP 経由で同じ回答を取得できます。

エージェントに必要な理由

モデルの npm に関する知識は、トレーニングのカットオフで止まります。レジストリは止まりません。

• 架空の名前や、タイポスクワッティングされた名前。 エージェントは、存在しないパッケージや、誰かが誤記した名前を登録したことで存在しているパッケージを、自信満々にインストールします。
• 移動した API。 lurq が追跡している38,752個のパッケージのうち、2,725個は2026年5月1日から9月13日の間に新しいメジャーバージョンを公開しました。記憶を頼りに書かれたコードは、名前が変更または削除された関数を呼び出します。
• 一緒にインストールできないスタック。 各パッケージ単体では問題がなくても、組み合わせると peer またはエンジンのバージョン範囲が原因で失敗することがあります。多くの場合、デプロイ時に発覚します。

lurq は、提示可能なエビデンスに基づいて回答します。47,238個のパッケージをスコア化し、420万個のバージョンを追跡し、公開済みコードから34,843個の API サーフェスを抽出し、2,700万組の同時インストールペアを記録しています。npm、GitHub、deps.dev、OSV から毎日データを更新します。すべての回答には dataAsOf のタイムスタンプが付いています。

対象範囲： JavaScript/TypeScript エコシステム（npm）。

インストール

マシンごとに一度、コマンドを1つ実行するだけです。事前のインストールは不要です。

npx lurqrun

セットアップウィザードは次の処理を行います。

1. ブラウザーで lurq を開きます。サインインすると、キーが自動的にターミナルに戻ります。
2. マシン上のすべてのコーディングエージェントを検出します。
3. 各エージェントが期待する形式で、キー付きのリモート MCP エントリを書き込みます。
4. エージェントが記憶から回答するのではなく lurq を使うように、対応するエージェントには常設の指示をインストールします。

その後、エージェントを再起動してください。無料プランでは月1,000回までホスト型の呼び出しを利用でき、クレジットカードの登録も不要です。

対応環境： Claude Code · Cursor · Windsurf · VS Code / GitHub Copilot · OpenAI Codex CLI · Gemini CLI · Google Antigravity · Kiro

動作確認： エージェントに 「このプロジェクトに zod を追加して」 と頼んでください。何かをインストールする前に lurq の verify を呼び出すはずです。

Claude Code プラグインなら、ターミナルは不要です。

/plugin marketplace add jadenryu/lurq
/plugin install lurq@lurq

Cursor と VS Code 用のワンクリックリンクは、 クイックスタートにあります。

パッケージは lurqrun として公開されています（単独の名前はすでに使われていました）。コマンドは lurq です。

npm install -g lurqrun
lurq --version

AI エージェント向け

AI コーディングエージェントとして、ユーザーから lurq のセットアップを依頼された場合は、次の手順に従ってください。

1. セットアップを実行します。

npx lurqrun setup

シェルではプロンプトが表示されず、1 回限りのサインインリンクを出力してすぐに終了します。そのリンクをユーザーに伝えてください。ユーザーがこのコンピューターでサインインすると、lurq がキーを保存し、検出されたすべてのコーディングエージェントに自動で接続します。キーを捏造しないでください。

2. または、非対話型で設定します。 ユーザーがすでに lurq.run/dashboard/keys からキーを取得している場合や、クラウド、SSH、CI のマシン上で、このコンピューターのサインインリンクを使用できない場合に使います。

npx lurqrun setup --yes --no-open --api-key <key> --agent <id>

--agent all を指定すると、検出されたすべてのエージェントが設定されます。--yes を指定すると、キーを LURQ_API_KEY から取得することもできます。

キーがなくても実行できるチェックもあります。npx lurqrun check-upgrade --upgrade <package>@<from>..<to> は、アップグレード対象のパッケージ名がコード内で実際にインポートされているかをローカルで比較します。

3. ユーザーにエージェントの再起動を促し、MCP ツールの一覧に lurq が表示されることを確認してください。

"lurq": { "type": "http", "url": "https://api.lurq.run/mcp", "headers": { "Authorization": "Bearer <key>" } }

"lurq": { "url": "https://api.lurq.run/mcp", "headers": { "Authorization": "Bearer <key>" } }

"lurq": { "serverUrl": "https://api.lurq.run/mcp", "headers": { "Authorization": "Bearer <key>" } }

"lurq": { "httpUrl": "https://api.lurq.run/mcp", "headers": { "Authorization": "Bearer <key>" } }

[mcp_servers.lurq]
url = "https://api.lurq.run/mcp"
http_headers = { Authorization = "Bearer <key>" }

lurq が問題を検出した場合は、検出内容と、それが lurq によるものだとユーザーに伝えてください。unknown または UNVERIFIABLE という結果は、lurq が確認できなかったことを意味します。パッケージに問題がないという意味ではありません。

機械可読ドキュメント：lurq.run/llms.txt · lurq.run/docs/llms-full.txt

MCP ツール

15 個のツールがあります。レスポンスはトークンを節約するため簡潔で、パッケージに関する回答には dataAsOf が含まれます。

インストール前

スタック全体

コードの作成

MCP サーバー

lurq について

各ツールの入力、出力、判定の定義については、MCP ツールリファレンスをご覧ください。

CLI

同じインデックスをスクリプトから利用できます。読み取りコマンドはすべて --json を受け取ります。

# Before installing
lurq verify jsonwebtoken
lurq evaluate zod
lurq compare date-fns dayjs moment

# Stacks and projects
lurq compat next react react-dom
lurq audit .                               # every dependency and MCP server in the project

# APIs and upgrades
lurq usage zod --known 3.22.4              # what changed since the version you know
lurq upgrade-plan .                        # what's behind, and what each upgrade removes
lurq check-upgrade . --plan lurq-plan.json --exit-code

# Publishing your own package
lurq check-release                         # is the version you're about to publish honest?
lurq check-api --against origin/main       # does this break your API's callers?

# MCP servers
lurq mcp-scan                              # read the servers you have configured, record what changed

# Team policy
lurq policy pull policy.json               # keep the selection policy in a reviewed file
lurq policy push policy.json               # and apply it from CI (needs a policy:write key)

# Finding your way
lurq can "will this upgrade break my code" # which capability answers this?

全リファレンス：CLI ドキュメント。

Autopilot

lurq はリポジトリの依存関係を最新の状態に保ち、アップグレードによって壊れるコードをマージ前に特定します。

このチェックでは、バージョン間のシンボルレベルの API 差分を読み取り、実際にコードが参照しているものと照合します。テストは不要です。

blocking   a referenced symbol or deep import disappears,
           or require() of a now-ESM package breaks         → the code will throw
warning    a call's argument count no longer fits, a new type
           error, or a Node / peer version the repo lacks   → it may misbehave or not build
ok         nothing referenced is affected
unverified could not be established                         → never counted as safe

3 つのモードがあり、編集はオプトインです。 ワークフローは comment モードで開始します。計画を立て、チェックを行い、実行概要に報告を書き込みますが、変更は加えません。fix は、パッケージ自体が証明できる内容のみを含むプルリクエストを作成します — 呼び出し箇所の名前変更と、すべてのマニフェストでのバージョン範囲の引き上げです。そのため、Anthropic の認証情報は不要で、新たに有効化したリポジトリにはこのモードが適用されます。pr は fix にエージェントを加えたもので、ルールでは対応できない変更を扱います。上記のステップ 4 だけがモデルを必要とするため、モデルを使うのは pr だけです。

ダッシュボードの設定は、すでにワークフローをインストールしているリポジトリに適用されます。各実行では、コミット済みファイルではなく、プランのレスポンスからモードを読み取ります。

実行頻度は対象範囲に応じて異なります — 破壊的変更を追跡するスコープでは週次です。メジャーバージョンは十分ゆっくりとリリースされるため、毎日実行しても新しい報告がほとんどないからです。アドバイザリのみを対象に設定したリポジトリでは、週次だと既知の CVE が未対応のまま 7 日間残ることもあるため、毎日実行します。

信頼モデル。 lurq の GitHub App に付与される権限は Contents: read-only と Actions: write です。マニフェストを読み取り、コミット済みのワークフローを 開始 できますが、リポジトリに 1 バイトも書き込めず、このファイルを変更することも、リポジトリ変数を設定することもできません。すべての書き込みはワークフロー自体がお使いの一時的な GITHUB_TOKEN を使って行い、制御下にあるファイルの permissions: ブロックによって制限されます。エージェントの許可リストは Read,Edit,Write,Bash(<pkg-manager>:*) です。そのためファイルは編集しますが、バージョン管理には一切触れません。削除するには git rm .github/workflows/lurq-upgrade.yml を実行します。

お使いのマシンから送信される情報

パッケージ名とバージョンのみで、ソースコードは送信されません。audit はエージェントがお使いの環境でローカルに読み取るインベントリを受け取り、check-upgrade はお使いのランナー上でシンボルをコードと照合します。結果として報告されるのは名前と件数のみです。

知っておくべき唯一の例外は lurq mcp-scan です。デフォルトでは、変更を把握できるよう、MCP サーバーが公開する情報（ツール名、説明、パラメーター。シークレットはマスキングされます）をアカウントに記録します。--no-upload を指定すると、スキャン結果はお使いのマシン内に留まります。

エビデンスの出所

読み取り可能な情報： npm、GitHub、deps.dev、OSVを毎日再同期します。ダウンロード数、リリース頻度、メンテナンス状況、アドバイザリ、非推奨化、ライセンス、バンドルサイズのコストを確認できます。

実行結果： 分離されたサンドボックスでパッケージの各バージョンをインストールしてインポートし、結果を互換性マトリクスに記録します。compat はこれらの依存関係を、宣言された peer と engine の範囲とあわせて読み取るため、lurq はスタック全体が整合するかどうかを判断できます。

ランキングは決定論的で、公開されています。 スコアリングの処理にモデルは関与しません。

health    = maintenance 0.35 · adoption 0.30 · reliability 0.25 · efficiency 0.10
quality   = types · tests · docs · changelog · dep count · license · provenance
composite = blend at a single tunable λ (default 0.35)

すべての重みは src/scoring/weights.ts にあり、lurq weights で表示できます。

プラン

上限を超えた場合も停止せず、1日20回に制限されます。自分のデータベースに対して実行する CLI の実行は、回数にカウントされません。詳細：料金。

lurq uninstall                  # MCP entries, agent instructions, the stored key
lurq uninstall --agent cursor   # just one agent
npm uninstall -g lurqrun        # then remove the `lurq` command

お問い合わせ

お問い合わせ、パートナーシップ、提案：[email protected]

ライセンス

MIT