用途：在真正升级依赖之前，分析升级带来的影响，帮助找到既能修复漏洞、风险又最小的安全升级路径。适用于用户询问“该不该升级 lodash”“更新 express 会破坏什么”等场景。
主要能力：基于 Endor Labs 平台预计算数据（无需扫描）给出每个包的最佳升级建议，包含从哪个版本升到哪个版本、修复的发现数量、引入的发现数量、升级风险等级（LOW/MEDIUM/HIGH）、目标版本发布时间、评分说明，以及是否为最佳/最新版本。对高风险升级可按需获取代码级破坏性变更（CIA）结果，如 API 变更、移除的函数、签名变更、行为变更。
使用方式：先确定项目 UUID，可从 .endor/scan-full-results.json 或扫描输出中获取，也可用命令查询：npx -y endorctl api list --resource Project -n <NAMESPACE> --filter "uuid=="<PROJECT_UUID>"" --field-mask="uuid,meta.name" 2>/dev/null，或使用 get_resource MCP 工具。随后查询预计算的安全升级建议（不要运行扫描）：npx -y endorctl api list -r VersionUpgrade -n <NAMESPACE> --filter="context.type==CONTEXT_TYPE_MAIN and spec.project_uuid=="<PROJECT_UUID>" and spec.upgrade_info.is_best==true and spec.upgrade_info.worth_it==true" --field-mask="..." --list-all 2>/dev/null。若用户指定了某个包，则过滤到该包；若为泛问，则展示全部。每个包选取修复发现最多且风险最低的升级。仅当用户要求评估高风险升级时，才获取 CIA 详情。
适用场景：依赖安全治理、升级前风险评估、漏洞修复规划。
限制：需要 Endor Labs OSS Pro 许可，否则提示访问 app.endorlabs.com 或联系管理员；若项目未找到需告知用户并停止；若包不在结果中，说明没有推荐升级或已处于推荐版本；认证错误需按 endor-safety.md 全局规则中的认证恢复步骤处理。安装命令见 references/install-commands.md，数据源策略见 references/data-sources.md。