Perplexity publica Bumblebee en codi obert

El ràpid avenç de la IA ha aportat una nova complexitat al panorama de la seguretat, amb vulnerabilitats descobertes cada dia.

Les amenaces recents s'adrecen cada cop més als paquets de programari, les eines de desenvolupament i els entorns locals en els quals confien els equips d'enginyeria moderns com ara Perplexity. Per tant, la integritat dels nostres productes ha de començar més amunt en la cadena de subministrament que no pas la producció.

Avui publiquem en codi obert una de les eines internes que utilitzem per protegir els sistemes de desenvolupadors darrere de Perplexity, Comet i Computer.

Bumblebee és un escàner de només lectura que fem servir per comprovar si les màquines dels desenvolupadors tenen paquets, extensions i configuracions d'eines d'IA arriscats durant incidents de la cadena de subministrament.

Bumblebee és útil per a tots els equips de seguretat. Sempre que es notifica una nova vulnerabilitat, necessiten saber immediatament si alguna de les seves màquines ha estat exposada.

Fer que els productes de Perplexity siguin més segurs per als usuaris comença per protegir els sistemes de desenvolupament amb els quals els construïm. Bumblebee és un component del nostre flux de treball de seguretat més ampli on Perplexity Computer ajuda a fer un seguiment de les amenaces emergents, les persones revisen les actualitzacions del catàleg i Bumblebee comprova si els components exposats apareixen als extrems dels desenvolupadors.

Avui publiquem Bumblebee en codi obert, de manera que qualsevol equip pugui basar-se en la mateixa capa de seguretat.

Les organitzacions d'enginyeria ara poden executar Bumblebee amb els seus propis catàlegs i procés de revisió. Així és com utilitzem Bumblebee internament:

S'identifica un senyal d'amenaça mitjançant divulgacions públiques, fonts d'intel·ligència de tercers o investigació interna.

Perplexity Computer redacta una actualització del catàleg. Introdueix el senyal en una entrada estructurada (ecosistema, nom, versió) i, a continuació, obre una sol·licitud d'extracció (PR) de GitHub amb enllaços d'origen.

Passa a la revisió humana, després de la qual es fusiona la PR.

Bumblebee s'executa als extrems amb el catàleg actualitzat.

Les troballes es comparteixen amb l'equip de seguretat.

Bumblebee admet tres perfils d'escaneig, que indiquen on i amb quina amplitud s'ha de cercar:

Perfil bàsic: escaneig rutinari d'ubicacions estàndard de portàtils. Els equips ho programen a través de la seva pròpia eina de gestió de dispositius mòbils (MDM) o de flotes.

Perfil de projecte: escaneig orientat de repositoris o espais de treball específics.

Perfil profund: escombrat de resposta per a incidents actius.

Cada detecció és traçable, i mostra quina entrada del catàleg va activar la fitxa, quan es va afegir i qualsevol evidència.

Els SBOM i els escàners de vulnerabilitats s'encarreguen dels repositoris i dels artefactes de compilació. Els productes d'inventari d'extrems cobreixen les aplicacions instal·lades. Bumblebee s'executa a l'ordinador portàtil del desenvolupador. Us indica si aquesta màquina té instal·lat un paquet, una versió, una extensió o una configuració MCP específica quan arriba un avís de la cadena de subministrament.

Les eines de codi obert existents acostumen a cobrir una o dues d'aquestes superfícies. Bumblebee les cobreix totes quatre:

Gestors de paquets de llenguatges: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

Configuracions d'agents d'IA: MCP

Extensions d'editor: família de VS Code (VS Code, Cursor, Windsurf, VSCodium)

Extensions de navegador: família de Chromium (Chrome, Comet, Edge, Brave, Arc) i Firefox

Bumblebee és de només lectura. Llegeix directament els fitxers de metadades i no permet mai que s'executin eines potencialment compromeses, la qual cosa evita que l'escaneig esdevingui el risc. Fer que Bumblebee sigui de només lectura ajuda a evitar problemes amb l'execució de codi en el moment de la instal·lació.

Els paquets npm poden portar scripts de postinstal·lació que s'executen automàticament en el moment precís en què npm install hi interactua. Així és com s'han estès la majoria dels cucs recents de la cadena de subministrament. Un escàner que crida npm per comprovar l'exposició ja ha desencadenat l'atac que buscava. Bumblebee ho evita evitant:

Execució de codi: mai executa scripts d'instal·lació ni ganxos del cicle de vida.

Invocació del gestor de paquets: mai executa npm, pnpm, bun o pip.

Lectura de fitxers de codi font: mai llegeix fitxers de codi font d'aplicacions; llegeix metadades com ara fitxers de bloqueig, manifestos i metadades de paquets instal·lats.

Monitoratge de processos o xarxes: Bumblebee no és un EDR.

Bumblebee ja està disponible com a projecte Go de codi obert per a extrems de desenvolupadors amb macOS i Linux. Els equips de seguretat el poden baixar, executar-lo contra el seu propi catàleg de versions dolentes i introduir els resultats en qualsevol flux de treball de resposta que ja utilitzin.

Presentem Bumblebee

Del senyal d'amenaça a l'escaneig d'extrems

La seguretat comença a la superfície local del desenvolupador

Què revisa Bumblebee

Avalueu l'exposició amb seguretat