Osv

mcp-osv

OSV.dev（オープンソースの脆弱性）MCP。

Pipeworx の一部です — AI エージェントを1683以上のライブデータソースに接続するMCPゲートウェイです。

ツール

ツール	説明
query_package_vulns	OSV.devデータベースを通じて、オープンソースパッケージに関する既知の脆弱性をすべて検索します。特定のバージョンを指定することもできます。パッケージで判明している脆弱性をすべて取得するには、バージョンを省略してください。簡潔な概要配列（ID、概要、別名、深刻度、参照先）を返します。APIキーは不要です。
get_vulnerability	OSV IDを指定して、単一の脆弱性の詳細を取得します。例：「GHSA-jf85-cpcp-j695」、「CVE-2021-23337」、「PYSEC-2021-XXX」。概要、詳細、別名、深刻度、影響を受けるパッケージ／バージョン範囲、参照先を返します。APIキーは不要です。
query_by_commit	OSV.devを通じて、ソースリポジトリの特定のGitコミットに影響する脆弱性を検索します。リリース済みバージョンではなく、固定されたコミットハッシュがある場合に便利です。同じ簡潔な脆弱性概要配列を返します。APIキーは不要です。
query_batch	OSV.devに対する脆弱性の一括検索です（1回の呼び出しで最大1000件）。SBOM形式で「このロックファイル内のすべての依存関係をスキャンする」ワークフロー向けです。{package:{name,ecosystem}, version?}または{commit}の配列を渡します。クエリごとに一致した脆弱性IDを返します（各IDの詳細を取得するにはget_vulnerabilityを使用してください）。APIキーは不要です。

クイックスタート

MCPクライアント（Claude Desktop、Cursor、Windsurfなど）に追加します。

{
  "mcpServers": {
    "osv": {
      "url": "https://gateway.pipeworx.io/osv/mcp"
    }
  }
}

このエンドポイントが実際に提供するもの

https://gateway.pipeworx.io/osv/mcp の tools/list は、上の表にあるツールに加え、共有Pipeworxメタツール（ask_pipeworx、discover_tools、search_within、remember／recallなど、ゲートウェイ全体で使える一連のツール）も返します。そのため、表示されるツール数はこの表より多くなります。現在、単一パックのエンドポイントには、パック独自のツールとともに共有ツールがおよそ30個表示されます。接続の initialize 応答には正確な対象範囲が記載され、その日の状況における正式な情報となります。

これは意図的な設計であり、偶然の多重化ではありません。メタツールを使うと、このパックでは対応していない質問にも、カタログ全体を対象にルーティングする ask_pipeworx を通じて回答できます。そのため、MCPサーバーをもう1つ追加する必要はありません。現時点では、メタツールなしでパックのエンドポイントをマウントする方法はありません。追加のスキーマによるコンテキスト消費がルーティングの利点を上回る場合は、複数のパックエンドポイントではなく、フルゲートウェイに一度だけ接続してください。

または、フルPipeworxゲートウェイに接続すれば、このパックのツールだけでなく、すべてのパックのツールを直接一覧表示できます。

{
  "mcpServers": {
    "pipeworx": {
      "url": "https://gateway.pipeworx.io/mcp"
    }
  }
}

どちらのURLも同じゲートウェイと1683以上のデータソースに接続します。異なるのは、どのパックのツールが直接一覧表示されるかだけです。どちらからでも、ask_pipeworx を通じてすべてのツールを利用できます。

MCPクライアントがない場合は、HTTP経由で呼び出す

curl -X POST https://gateway.pipeworx.io/v1/tools/query_package_vulns \
  -H 'Content-Type: application/json' \
  -d '{"name":"lodash","ecosystem":"npm"}'

最初の呼び出しにアカウントは不要です。任意のツールを確認するには、GET https://gateway.pipeworx.io/v1/tools/query_package_vulns を使用します。ツールを検索するには、{"query":"..."} を指定して POST https://gateway.pipeworx.io/v1/tools/search_packs を実行します。

スタンドアロン（ゲートウェイアカウント不要）

このパッケージはローカルのstdio MCPサーバーとしても実行できます。Pipeworxアカウントは不要で、ゲートウェイを経由する必要もありません。

{
  "mcpServers": {
    "osv": {
      "command": "npx",
      "args": ["-y", "@pipeworx/mcp-osv"]
    }
  }
}

または、直接実行して起動を確認できます。

npx -y @pipeworx/mcp-osv

stdin/stdout経由でMCPを使用し、このパックのツールのみを対象に initialize／tools/list／tools/call に応答します。上記のゲートウェイ接続で追加される共有メタツールはありません。同じソース、同じツールで、ask_pipeworxによるルーティングはありません。

ask_pipeworxを使う

ツールを直接呼び出す代わりに、自然な英語で質問できます。これは上記のパックエンドポイントでも、フルゲートウェイでも利用できます。

ask_pipeworx({ question: "your question about Osv data" })

ゲートウェイが適切なツールを選び、引数を自動的に設定します。

詳細

• ドキュメントとガイド
• pipeworx.io

ライセンス

MIT