NVD — National Vulnerability Database

NISTのNational Vulnerability Database。公開されたすべてのCVE（Common Vulnerabilities and Exposures）— ソフトウェアの脆弱性、深刻度スコア（CVSS）、影響を受ける製品（CPE）、参照情報。「このソフトウェアのバージョンは脆弱ですか？」という問いに対する権威ある情報源。無料、認証不要（軽いレート制限あり、キー推奨）。

Part of Pipeworx — AIエージェントを1394以上のライブデータソースに接続するMCPゲートウェイ。

AIエージェントにとっての重要性

セキュリティ分析、サプライチェーンリスク評価、または「依存関係Xに影響するCVEは？」という質問に対して、NVDが情報源です。商用の脆弱性データベースがキュレーションを加えるのに対し、NVDは連邦政府の生の記録です。セキュリティIPについてはUSPTO特許、開示情報についてはSEC EDGARと組み合わせて使用します。

一般的なフロー：

• CVEルックアップ。 特定のCVEをIDで検索し、完全なレコードを取得します。

• 製品/バージョンによる検索。 「Apache Log4j 2.xに影響するCVEは？」→ キーワード + CPEフィルター。

• 深刻度別の最近のCVE。 最近公開されたCriticalおよびHighの開示情報。

• CVSSスコアリング。 各CVEにはCVSS v2、v3.0、v3.1のスコアがあります。エージェントは現在の分析にはv3.xを使用すべきです。

Related MCP server: Cybersecurity MCP Server

認証

NVDのREST APIは無料です。認証なしのクライアントは30秒あたり約5リクエストです。無料のAPIキーはhttps://nvd.nist.gov/developers/request-an-api-keyで取得でき、30秒あたり約50リクエストになります。_apiKeyで渡します。

深刻度クラス（CVSS v3）

エージェントのトリアージでは、「過去90日間のHighおよびCritical」が一般的な注目スライスです。

よくある落とし穴

• CPEマッチングは厄介です。 CPE（Common Platform Enumeration）は「このCVEがこの製品バージョンに影響する」というための統制語彙です。CPE内のソフトウェア名は、マーケティング上の名前と異なることがよくあります。CVEを検索する前に、NVDのCPE検索を使用して正しいCPEを見つけてください。

• CVEのカバレッジは完全ではありません。 一部のバグはCVEが割り当てられずに静かに修正されます。逆に、すべてのCVEが実際に悪用可能なわけではありません。環境に応じてトリアージしてください。

• 深刻度スコアは悪用可能性ではありません。 使用していない機能に対するCriticalのCVSSスコアは無関係です。インターネットに公開されているものに対するMediumのCVSSは、スコアが示すよりも悪いです。可能な場合はEPSS（Exploit Prediction Scoring System）と組み合わせてください。

• 予約済みと公開済み。 予約済みCVE（"RESERVED"）は、公開開示を待つプレースホルダーです。実際の内容は公開されるとdescriptionにあります。実際に既知のものについてはvulnStatusでフィルタリングしてください。

• 参照情報の遅延。 パッチやエクスプロイト検出シグネチャは、NVDレコードが更新される前に現れることがよくあります。リアルタイムの脆弱性対応には、GitHub Security Advisoriesやベンダーチャネルを重ねてください。

• 修正日と公開日。 "modified"日付は、再スコアリングや参照情報の更新を反映することが多く、新しい発見ではありません。「今週公開されたもの」を調べるには、publishedDateで並べ替えてください。

クイックスタート

MCPクライアント（Claude Desktop、Cursor、Windsurfなど）に追加します：

{
  "mcpServers": {
    "nvd": {
      "url": "https://gateway.pipeworx.io/nvd/mcp"
    }
  }
}

または、フルPipeworxゲートウェイに接続して、1394以上のすべてのデータソースにアクセスします：

{
  "mcpServers": {
    "pipeworx": {
      "url": "https://gateway.pipeworx.io/mcp"
    }
  }
}

ask_pipeworxでの使用

ツールを直接呼び出す代わりに、平易な英語で質問できます：

ask_pipeworx({ question: "your question about Nvd data" })

ゲートウェイが適切なツールを選択し、引数を自動的に入力します。

詳細

• ドキュメントとガイド

• pipeworx.io

ライセンス

MIT