Perplexity пуска Bumblebee като софтуер с отворен код

Днес пускаме с отворен код един от вътрешните инструменти, които използваме за защита на системите за разработчици зад Perplexity, Comet и Computer.

Бързото напредване на изкуствения интелект донесе нова сложност в сферата на сигурността, като уязвимости се откриват всеки ден.

Последните заплахи все повече се насочват към софтуерните пакети, инструментите за разработчици и локалните среди, на които разчитат съвременните инженерни екипи като Perplexity. Затова цялостта на нашите продукти трябва да започва много по-рано в веригата за доставки, отколкото при производството.

Днес пускаме с отворен код един от вътрешните инструменти, които използваме за защита на системите за разработчици зад Perplexity, Comet и Computer.

Представяме ви Bumblebee

Bumblebee е скенер само за четене, който използваме за проверка на машините на разработчиците за рискови пакети, разширения и конфигурации на AI инструменти по време на инциденти във веригата за доставки.

Bumblebee е полезен за всички екипи по сигурността. Всеки път, когато бъде докладвана нова уязвимост, те трябва да знаят незабавно дали някоя от техните машини е била изложена на риск.

Повишаването на сигурността на продуктите на Perplexity за потребителите започва със защитата на системите за разработчици, с които ги изграждаме. Bumblebee е един от компонентите в нашия по-широк работен процес за сигурност, при който Perplexity Computer помага за проследяване на нововъзникващи заплахи, специалисти преглеждат актуализациите на каталога, а Bumblebee проверява дали изложените на риск компоненти се появяват в ендпоинтите на разработчиците.

Днес предоставяме Bumblebee като софтуер с отворен код, така че всеки екип да може да надгражда върху същия слой за сигурност.

От сигнал за заплаха до сканиране на ендпоинт

Инженерните организации вече могат да стартират Bumblebee със собствени каталози и процес на преглед. Ето как използваме Bumblebee вътрешно:

Сигналът за заплаха се идентифицира чрез публични разкрития, новинарски емисии на трети страни или вътрешни изследвания.

Perplexity Computer изготвя проект за актуализация на каталога. Той въвежда сигнала в структуриран запис (екосистема, име, версия) и след това отваря GitHub PR с връзки към изходния код.

Той преминава през преглед от човек, след което PR е обединен.

Bumblebee се изпълнява на ендпоинти с актуализирания каталог.

Констатациите се споделят с екипа по сигурността.

Bumblebee поддържа три профила на сканиране, които му казват къде и колко мащабно да търси:

Базов профил: Рутинно сканиране на стандартни места на лаптопа. Екипите го насрочват чрез собствения си MDM или инструмент за управление на флотилия.

Профил на проект: Целево сканиране на конкретни хранилища или работни пространства.

Дълбок профил: Наблюдение за реакция при активни инциденти.

Всяко засечено попадение може да бъде проследено, като показва кой запис в каталога е задействал подаването, кога е бил добавен и всички доказателства.

Сигурността започва от локалната среда на разработчика

Инструментите за сканиране на SBOM и уязвимости обработват хранилища и артефакти от компилацията. Продуктите за инвентаризация на ендпоинти обхващат инсталираните приложения. Bumblebee работи на лаптопа на разработчика. Той ви казва дали тази машина има инсталиран конкретен пакет, версия, разширение или MCP конфигурация, когато се появи предупреждение за веригата за доставки.

Какво преглежда Bumblebee

Съществуващите инструменти с отворен код обикновено покриват едно или две от тези места. Bumblebee покрива всичките четири:

Мениджъри на езикови пакети: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

Конфигурации на AI агенти: MCP

Разширения за редактор: Семейство VS Code (VS Code, Cursor, Windsurf, VSCodium)

Разширения за браузър: Семейство Chromium (Chrome, Comet, Edge, Brave, Arc) и Firefox

Оценявайте експозицията безопасно

Bumblebee е само за четене. Той чете метаданните директно и никога не позволява потенциално компрометирани инструменти да стартират, което пречи на самото сканиране да се превърне в риск. Превръщането на Bumblebee в инструмент само за четене помага да се избегнат проблеми с изпълнението на код по време на инсталация.

Пакетите на npm могат да носят скриптове за изпълнение след инсталация, които се стартират автоматично в момента, в който npm install ги докосне. Така са се разпространили повечето скорошни червеи във веригата за доставки. Скенер, който извиква npm за проверка на експозицията, вече е задействал атаката, която е търсил. Bumblebee предотвратява това, като избягва:

Изпълнение на код: никога не стартира инсталационни скриптове или хукове за жизнения цикъл.

Извикване на мениджър на пакети: никога не стартира npm, pnpm, bun или pip.

Четене на файлове с изходен код: никога не чете файлове с изходен код на приложенията; той чете метаданни като заключващи файлове, манифести и метаданни на инсталирани пакети.

Мониторинг на процеси или мрежа: Bumblebee не е EDR.

Bumblebee вече е достъпен като Go проект с отворен код за ендпоинти за разработчици с macOS и Linux. Екипите по сигурността могат да го изтеглят, да го стартират срещу собствения си каталог с лоши версии и да подадат резултатите в какъвто работен процес за реакция вече използват.