エージェント運用を続けると package.json に見覚えのない依存が増えていきます。git 履歴から追加された依存を抽出し、ライセンスを集計してポリシーと突き合わせる棚卸しの実装と、追加理由を残す記録の設計を、動くスクリプトとともに紹介します。