Nvd

NVD — National Vulnerability Database

NIST の National Vulnerability Database です。これまでに公開されたすべての CVE（Common Vulnerabilities and Exposures）を収録しています。ソフトウェアの脆弱性、深刻度スコア（CVSS）、影響を受ける製品（CPE）、参照情報を確認できます。「このソフトウェアのバージョンには脆弱性があるか？」を調べる際の信頼できる情報源です。無料で認証も不要です（レート制限は緩やかですが、API キーの利用を推奨します）。

Pipeworx の一部です。AI エージェントを 1684 以上の稼働中のデータソースに接続する MCP ゲートウェイです。

AI エージェントにとって重要な理由

セキュリティ分析、サプライチェーンのリスク評価、または「依存関係 X に影響する CVE は？」といった調査では、NVD が情報源になります。商用の脆弱性データベースが情報を精選するのに対し、NVD は連邦政府の生の記録です。セキュリティ関連の知的財産には USPTO patents、情報漏えいの開示には SEC EDGAR と組み合わせてください。

一般的な利用の流れ：

• CVE の検索。 ID を指定して、特定の CVE の詳細な記録を取得します。
• 製品／バージョンで検索。 「Apache Log4j 2.x に影響する CVE は？」→ キーワードと CPE フィルターを使用します。
• 深刻度別の最近の CVE。 最近公開された、深刻度がクリティカルまたは高の脆弱性情報を確認します。
• CVSS スコアの確認。 各 CVE には CVSS v2、v3.0、v3.1 のスコアがあります。現在の分析では、エージェントは v3.x を使用してください。

認証

NVD の REST API は無料です。認証されていないクライアントは、30 秒あたり約 5 件のリクエストを送信できます。https://nvd.nist.gov/developers/request-an-api-key で無料の API キーを取得すると、30 秒あたり約 50 件のリクエストを送信できます。_apiKey で渡してください。

深刻度クラス（CVSS v3）

スコア	クラス
0.1–3.9	低
4.0–6.9	中
7.0–8.9	高
9.0–10.0	クリティカル

エージェントによるトリアージでは、「過去 90 日間の高およびクリティカル」が、注目すべき対象としてよく使われます。

よくある落とし穴

• CPE の照合は簡単ではありません。 CPE（Common Platform Enumeration）は、「この CVE はこの製品バージョンに影響する」という情報を表す統制語彙です。CPE で使われるソフトウェア名は、マーケティング上の名称と異なることがよくあります。CVE を検索する前に、NVD の CPE 検索で適切な CPE を確認してください。
• CVE の網羅性は完全ではありません。 CVE が割り当てられずにひそかに修正されるバグもあります。反対に、すべての CVE が実際に悪用可能とは限りません。環境に応じてトリアージしてください。
• 深刻度スコアは悪用可能性を示すものではありません。 使用していない機能の CVSS スコアがクリティカルでも無関係です。一方、インターネットに公開されている対象の CVSS スコアが中でも、スコアが示す以上に深刻な場合があります。利用可能であれば、EPSS（Exploit Prediction Scoring System）と組み合わせてください。
• 予約済みと公開済みの違い。 予約済みの CVE（「RESERVED」）は、一般公開を待つプレースホルダーです。公開後、実際の内容は description に記載されます。実際に判明している情報を絞り込むには、vulnStatus をフィルターしてください。
• 参照情報の更新は遅れることがあります。 パッチやエクスプロイト検知シグネチャは、NVD の記録が更新される前に公開されることがよくあります。リアルタイムの脆弱性対応には、GitHub Security Advisories やベンダーの情報源を重ねて利用してください。
• 変更日と公開日の違い。 「変更日」は、新たな発見ではなく、スコアの再評価や参照情報の更新を示す場合がよくあります。「今週公開された情報」を調べるには、publishedDate で並べ替えてください。

クイックスタート

MCP クライアント（Claude Desktop、Cursor、Windsurf など）に追加します。

{
  "mcpServers": {
    "nvd": {
      "url": "https://gateway.pipeworx.io/nvd/mcp"
    }
  }
}

このエンドポイントが実際に提供するもの

https://gateway.pipeworx.io/nvd/mcp の tools/list は、上記の表にあるツールに加えて、Pipeworx 共通のメタツールである ask_pipeworx、 discover_tools、search_within、remember／recall など、ゲートウェイ全体で使えるツール一式を返します。そのため、表示されるツール数はこの表より多くなります。単一パックのエンドポイントには現在、パック固有のツールに加えて、共通ツールがおよそ 30 個表示されます。接続の initialize 応答には正確な範囲が記載されており、その日の状況を確認する際の正式な情報源です。

これは意図的な仕様であり、意図せず多重化されているわけではありません。メタツールを使えば、このパックが扱わない質問にも、ask_pipeworx を通じてカタログ全体を横断して回答できるため、2 つ目の MCP サーバーを追加する必要がありません。現在、メタツールなしでパックのエンドポイントをマウントする方法はありません。追加のスキーマによるコンテキスト消費がルーティングの利点を上回る場合は、複数のパックエンドポイントではなく、フルゲートウェイに一度だけ接続してください。

または、Pipeworx のフルゲートウェイに接続すると、このパックのツールだけでなく、すべてのパックのツールが直接一覧表示されます。

{
  "mcpServers": {
    "pipeworx": {
      "url": "https://gateway.pipeworx.io/mcp"
    }
  }
}

どちらの URL も、同じゲートウェイと同じ 1684 以上のデータソースに接続します。違いは、どのパックのツールが直接一覧表示されるかだけです。どちらからでも、ask_pipeworx を通じてすべてのツールを利用できます。

MCP クライアントがない場合は、HTTP 経由で呼び出す

curl -X POST https://gateway.pipeworx.io/v1/tools/search_cves \
  -H 'Content-Type: application/json' \
  -d '{"query":"log4j"}'

最初の呼び出しにアカウントは必要ありません。任意のツールを確認するには、GET https://gateway.pipeworx.io/v1/tools/search_cves を実行します。ツールを探すには、{"query":"..."} を指定して POST https://gateway.pipeworx.io/v1/tools/search_packs を実行します。

スタンドアロン（ゲートウェイアカウント不要）

このパッケージはローカルの stdio MCP サーバーとしても実行できます。Pipeworx アカウントも、ゲートウェイへの往復通信も必要ありません。

{
  "mcpServers": {
    "nvd": {
      "command": "npx",
      "args": ["-y", "@pipeworx/mcp-nvd"]
    }
  }
}

または、直接実行して起動することを確認できます。

npx -y @pipeworx/mcp-nvd

stdin／stdout 経由で MCP 通信を行い、initialize／tools/list／tools/call に対して、このパックのツールのみを返します。上記のゲートウェイ接続で追加される共通メタツールはありません。同じソース、同じツールで、ask_pipeworx によるルーティングはありません。

ask_pipeworx を使う

ツールを直接呼び出す代わりに、自然な英語で質問できます。上記のパックエンドポイントでも、フルゲートウェイでも利用できます。

ask_pipeworx({ question: "your question about Nvd data" })

ゲートウェイが適切なツールを選び、引数を自動的に設定します。

詳細

• ドキュメントとガイド
• pipeworx.io

ライセンス

MIT