pkgxray: 설치되는 것을 검사하는 공급망 보안 도구

Pkgxray – inspect what gets installed, not what executes

pkgxray는 npm 패키지와 MCP 서버를 설치하거나 연결하기 전에 정적 분석으로 검사하는 로컬 도구입니다. 코드를 실행하지 않고도 자격 증명 탈취, 프롬프트 인젝션, 유니코드 밀수, 난독화, 알려진 CVE 등을 탐지하며, SAFE/REVIEW/BLOCK 등급을 매깁니다. npm과 GitHub 아티팩트의 불일치, 유지보수자 계정 탈취로 인한 변조된 업데이트도 감지합니다. AI 코딩 에이전트가 빠르게 패키지를 설치하는 환경을 겨냥하며, 결정적 휴리스틱을 사용해 LLM 주입에 영향을 받지 않습니다.