pkgxray：インストールされるものを検査し、実行されるものは検査しない

Pkgxray – inspect what gets installed, not what executes

AIコーディングエージェントがパッケージをインストールし、MCPサーバーに接続する速度は人間のレビューを追い越します。pkgxrayは、npmパッケージとMCPサーバーをインストールまたは接続する前に、ローカルで静的解析を行うゼロ依存のNode.jsツールです。コードを実行せずに、資格情報の窃取、プロンプトインジェクション、Unicodeスマイグリング、成果物の不一致などを検出し、SAFE、REVIEW、BLOCKの判定を証拠付きで提供します。判定パスにLLMを使用しないため、注入による操作を受けません。