DepScope 是一款面向 AI 智能体的包情报（Package Intelligence）工具，目标是阻止 AI 编程智能体安装“幻觉包”、已弃用包或恶意包。官方指出，大语言模型经常会编造看起来真实但并不存在的包名（例如 fastapi-turbo、lodahs、tokio-stream-extras），当智能体尝试安装这类包时，可能命中攻击者布置的仿冒包（typosquat）。DepScope 在安装前对每个包进行验证。
用途
- 为 AI 编程智能体提供包验证与情报查询能力，降低安装幻觉包、弃用包、恶意包的风险。
- 提供包健康状况、漏洞、仿冒包、恶意包、替代方案、破坏性变更等信息。
主要能力
- 覆盖 19 个包生态：npm、pypi、cargo、go、composer、maven、nuget、rubygems、pub、hex、swift、cocoapods、cpan、hackage、cran、conda、homebrew、jsr、julia。
- 提供 22 个 MCP 工具。
- 数据源与情报类型包括：漏洞（OSV、CISA KEV、EPSS）、仿冒包（typosquats）、恶意包、替代方案、破坏性变更。
- 官方称数据规模为 840 万+ 包、4.2 万+ 漏洞（99% 经 EPSS 增强）。
- 免费、无需认证（zero auth），官方称提供宽松的速率限制。
使用方式
- MCP 远程方式：适用于 Claude Desktop、Cursor、Windsurf，可接入远程 MCP。
- MCP stdio 方式：适用于 Claude Code / 本地。
- MCP 服务端源码位于 cuttalo/depscope-mcp（AGPL-3.0），npm 包名为 depscope-mcp。
- 也可使用普通 HTTPS 接口，无需 MCP 客户端；完整参考见 depscope.dev/integrate。
- 官方网站：https://depscope.dev
适用场景
- AI 编程智能体（Claude、ChatGPT、Cursor、Windsurf、Copilot、Cline 等）在安装或推荐依赖前进行包验证。
- 需要跨多个包生态查询包健康度、漏洞与安全情报的开发者或智能体工作流。
限制与说明
- 本仓库仅为落地页与文档，不包含完整实现。
- MCP 服务端（客户端 SDK）为开源，AGPL-3.0；后端（API + 情报层）为专有，托管于 depscope.dev。
- 如需更高配额、SLA 或本地部署，可通过 depscope@cuttalo.com 联系。
- 官方称免费且无需认证，但未提供具体价格方案与付费细节。
- 其他功能细节如具体工具名称、调用示例、各生态数据覆盖范围等，资料中暂未提供。
- 由 Cuttalo srl（意大利）构建。
