Perplexity تتيح مصدر Bumblebee المفتوح

اليوم نقوم بإتاحة مصدر مفتوح لأحد الأدوات الداخلية التي نستخدمها لحماية أنظمة المطورين وراء Perplexity و Comet و Computer.

أدى التطور السريع للذكاء الاصطناعي إلى جلب تعقيدات جديدة إلى المشهد الأمني، مع اكتشاف ثغرات أمنية كل يوم.

تستهدف التهديدات الحديثة بشكل متزايد حزم البرمجيات وأدوات المطورين والبيئات المحلية التي تعتمد عليها فرق الهندسة الحديثة مثل Perplexity. لذا، يجب أن تبدأ نزاهة منتجاتنا في وقت مبكر من سلسلة التوريد قبل مرحلة الإنتاج.

اليوم نقوم بإتاحة مصدر مفتوح لأحد الأدوات الداخلية التي نستخدمها لحماية أنظمة المطورين وراء Perplexity و Comet و Computer.

نقدم لكم Bumblebee

Bumblebee هو ماسح ضوئي للقراءة فقط نستخدمه للتحقق من أجهزة المطورين بحثاً عن الحزم والامتدادات وتكوينات أدوات الذكاء الاصطناعي المحفوفة بالمخاطر أثناء حوادث سلسلة التوريد.

Bumblebee مفيد لجميع الفرق الأمنية. فكلما تم الإبلاغ عن ثغرة أمنية جديدة، يحتاجون إلى معرفة ما إذا كانت أي من أجهزتهم قد تعرضت للخطر فوراً.

يبدأ جعل منتجات Perplexity أكثر أماناً للمستخدمين بحماية أنظمة المطورين التي نبنيها بها. يعتبر Bumblebee مكوناً واحداً في سير العمل الأمني الأوسع لدينا حيث يساعد Perplexity Computer في تتبع التهديدات الناشئة، ويقوم البشر بمراجعة تحديثات الكتالوج، ويتحقق Bumblebee مما إذا كانت المكونات المعرضة للخطر تظهر عبر نقاط نهاية المطورين.

اليوم نحن نفتح مصدر Bumblebee، لكي يتمكن أي فريق من البناء على نفس الطبقة الأمنية.

من إشارة التهديد إلى فحص نقطة النهاية

يمكن للمؤسسات الهندسية الآن تشغيل Bumblebee مع الكتالوجات وعمليات المراجعة الخاصة بها. إليك كيف نستخدم Bumblebee داخلياً:

يتم تحديد إشارة التهديد من خلال الإفصاحات العامة، أو خلاصات الاستخبارات التابعة لجهات خارجية، أو البحث الداخلي.

Perplexity Computer يصيغ تحديثاً للكتالوج. يقوم بإدخال الإشارة في إدخال منظم (النظام البيئي، الاسم، الإصدار)، ثم يفتح طلب سحب (PR) على GitHub مع روابط المصدر.

يدخل في مراجعة بشرية، وبعد ذلك يتم دمج طلب السحب (PR).

يتم تشغيل Bumblebee على نقاط النهاية باستخدام الكتالوج المحدث.

يتم مشاركة النتائج مع الفريق الأمني.

يدعم Bumblebee ثلاثة ملفات تعريفية للفحص، والتي تخبره بمكان ونطاق البحث:

الملف التعريفي الأساسي: فحص روتيني لمواقع أجهزة الكمبيوتر المحمول القياسية. تقوم الفرق بجدولته من خلال أدوات إدارة الأجهزة المحمولة (MDM) أو أسطول الأجهزة الخاصة بها.

ملف المشروع التعريفي: فحص مستهدف لمستودعات أو مساحات عمل محددة.

الملف التعريفي العميق: مسح استجابة للحوادث النشطة.

كل اكتشاف قابل للتتبع، حيث يوضح إدخال الكتالوج الذي أدى إلى بدء التسجيل، ومتى تم إضافته، وأي أدلة.

الأمان يبدأ من سطح المطور المحلي

تتعامل أدوات الفحص الخاصة بـ SBOM والثغرات الأمنية مع المستودعات وعناصر البناء. تغطي منتجات مخزون نقاط النهاية التطبيقات المثبتة. يعمل Bumblebee على الكمبيوتر المحمول للمطور. يخبرك ما إذا كان هذا الجهاز يحتوي على حزمة أو إصدار أو امتداد أو تكوين MCP معين مثبتاً عند وصول إشعار سلسلة التوريد.

ما يراجعه Bumblebee

تميل الأدوات الحالية مفتوحة المصدر إلى تغطية واحد أو اثنين من هذه الأسطح. يغطي Bumblebee الأربعة جميعها:

مديرو حزم لغة البرمجة: npm، و pnpm، و Yarn، و Bun، و PyPI، ووحدات Go، و RubyGems، و Composer

تكوينات وكيل الذكاء الاصطناعي: MCP

امتدادات محرر الكود: عائلة VS Code (VS Code، Cursor، Windsurf، VSCodium)

امتدادات المتصفح: عائلة Chromium (Chrome و Comet و Edge و Brave و Arc) و Firefox

تقييم التعرض للخطر بأمان

Bumblebee للقراءة فقط. فهو يقرأ ملفات البيانات الوصفية مباشرة ولا يسمح أبداً بتشغيل أدوات يحتمل أن تكون مخترقة، مما يمنع الفحص من أن يصبح خطراً. يساعد جعل Bumblebee للقراءة فقط في تجنب المشكلات المتعلقة بتنفيذ التعليمات البرمجية وقت التثبيت.

يمكن أن تحمل حزم npm نصوصاً برمجية لما بعد التثبيت تعمل تلقائياً في اللحظة التي يلمسها أمر npm install. هذه هي الطريقة التي انتشرت بها معظم ديدان سلسلة التوريد الحديثة. الماسح الضوئي الذي يستدعي npm للتحقق من التعرض للخطر قد أطلق بالفعل الهجوم الذي كان تبحث عنه. يمنع Bumblebee هذا عن طريق تجنب:

تنفيذ التعليمات البرمجية: لا يقوم أبداً بتشغيل نصوص التثبيت أو خطافات دورة الحياة.

استدعاء مدير الحزم: لا يقوم أبداً بتشغيل npm أو pnpm أو bun أو pip.

قراءة ملفات المصدر: لا يقرأ أبداً ملفات مصدر التطبيق؛ بل يقرأ البيانات الوصفية مثل ملفات القفل (lockfiles) والبيانات التعريفية وبيانات وصف الحزمة المثبتة.

مراقبة العمليات أو الشبكة: Bumblebee ليس نظام اكتشاف والاستجابة لنقاط النهاية (EDR).

Bumblebee متاح الآن كمشروع Go مفتوح المصدر لنقاط نهاية المطورين على نظامي macOS و Linux. يمكن للفرق الأمنية تنزيله، وتشغيله مقابل الكتالوج الخاص بهم للإصدارات الضارة، وتغذية النتائج في أي سير عمل استجابة يستخدمونه بالفعل.