EchelonGraph MCP server 把 EchelonGraph 的免费公开数据接入任意 MCP 客户端，用于查询 CVE 与互联网暴露面。数据融合 NVD、MITRE-CNA 预 NVD、CISA KEV、EPSS 与 GitHub GHSA，形成 CVE Pulse 评分；并提供单个 CVE 的暴露足迹，即有多少对外开放的 ip:port 服务运行与某 CVE 对应的版本，暴露计数来自 Shodan 数据。
主要能力：16 个只读工具可查询单个 CVE 记录、利用代码与修复版本、按来源说明的修复方式、EPSS 历史、厂商公告与暴露足迹；列出 CISA 最新 KEV 条目；判断产品或包版本是否受影响；检查 SBOM 或项目锁文件；读取 CWE 及其 CVE。每个结果都标注测量方式（state、measured_at、method、coverage、freshness、notes），避免把故障或未评估当成无风险。另有 5 个提示词工作流（triage_cve、kev_weekly_brief、am_i_affected、sbom_review、workload_triage）、2 个资源（echelongraph://methodology、echelongraph://sources）和 1 个资源模板（cve://{cve_id}）。
使用方式：免费、无需 API 密钥、无需认证、只读。三种接入方式：Claude Desktop 一键扩展（无需 Node.js）；自定义连接器，粘贴 https://mcp.echelongraph.io/mcp 并选择无需登录；本地通过 npx 启动，需 Node.js 20 或更高版本，例如在 mcpServers 中配置 command 为 npx、args 为 ["-y","echelongraph-mcp"]。远程端点同样提供全部工具。
限制：工具为只读，不修改任何内容。部分 CVE 可能尚未评分，分数不可当作 0；patch_available 为 false 仅表示无修复证据，不代表不存在修复；暴露计数基于 Shodan 数据的抽样，统计的是 ip:port 服务而非机器，不在雷达追踪范围内的 CVE 会返回 NOT ASSESSED。厂商公告的覆盖窗口有限，未收录不能推断厂商未发布公告。具体收费、价格等资料未提供。
