Perplexity uvolňuje Bumblebee jako open-source

Rychlý rozvoj umělé inteligence přinesl do oblasti zabezpečení novou složitost, když jsou zranitelnosti objevovány každý den. 

Nejnovější hrozby stále častěji cílí na softwarové balíčky, vývojářské nástroje a lokální prostředí, na která moderní inženýrské týmy jako Perplexity spoléhají. Integrita našich produktů tak musí začínat dříve v dodavatelském řetězci než u samotné výroby. 

Dnes uvolňujeme jako open-source jeden z interních nástrojů, které používáme k ochraně vývojářských systémů za Perplexity, Comet a Computer. 

Představujeme Bumblebee

Bumblebee je skener pouze pro čtení, který používáme ke kontrole vývojářských počítačů na rizikové balíčky, rozšíření a konfigurace nástrojů AI během incidentů v dodavatelském řetězci. 

Bumblebee je užitečný pro všechny bezpečnostní týmy. Kdykoli je nahlášena nová zranitelnost, potřebují hned vědět, zda byly některé z jejich počítačů vystaveny riziku. 

Zajištění větší bezpečnosti produktů Perplexity pro uživatele začíná ochranou vývojářských systémů, s jejichž pomocí je vytváříme. Bumblebee je jednou součástí našeho širšího bezpečnostního pracovního postupu, ve kterém Perplexity Computer pomáhá sledovat objevující se hrozby, lidé kontrolují aktualizace katalogu a Bumblebee ověřuje, zda se vystavené komponenty objevují napříč vývojářskými koncovými body.

Dnes uvolňujeme Bumblebee jako open-source, aby každý tým mohl stavět na stejné bezpečnostní vrstvě. 

Od signálu hrozby po sken koncového bodu 

Inženýrské organizace nyní mohou spouštět Bumblebee s vlastními katalogy a procesem kontroly. Zde je návod, jak Bumblebee používáme interně: 

Signál hrozby je identifikován prostřednictvím veřejných zjištění, zpravodajských kanálů třetích stran nebo interního výzkumu.

Perplexity Computer připravuje návrh aktualizace katalogu. Vloží signál do strukturované položky (ekosystém, název, verze) a poté otevře GitHub PR s odkazy na zdroj. 

Vstupuje do lidské kontroly, po které je PR sloučen.

Bumblebee běží na koncových bodech s aktualizovaným katalogem.

Zjištění jsou sdílena s bezpečnostním týmem.

Bumblebee podporuje tři profily skenování, které mu říkají, kde a jak široce má vyhledávat: 

Základní profil: Rutinní skenování standardních umístění na notebooku. Týmy jej plánují prostřednictvím vlastního MDM nebo nástrojů pro správu zařízení.  

Projektový profil: Cílené skenování konkrétních úložišť nebo pracovních prostorů.

Hloubkový profil: Prohledání pro reakci na aktivní incidenty.

Zvětšit

Každá detekce je dohledatelná, ukazuje, která položka katalogu vyvolala záznam, kdy byla přidána, a veškeré důkazy. 

Zabezpečení začíná na lokálním vývojářském povrchu 

Nástroje pro SBOM a skenery zranitelností zpracovávají úložiště a stavební artefakty. Produkty pro inventarizaci koncových bodů pokrývají nainstalované aplikace. Bumblebee běží na vývojářském notebooku. Řekne vám, zda má tento počítač nainstalovaný konkrétní balíček, verzi, rozšíření nebo konfiguraci MCP, když se objeví upozornění dodavatelského řetězce.

Co Bumblebee kontroluje

Stávající open-source nástroje obvykle pokrývají jeden nebo dva z těchto povrchů. Bumblebee pokrývá všechny čtyři:

Správci jazykových balíčků: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

Konfigurace agentů AI: MCP 

Rozšíření editoru: rodina VS Code (VS Code, Cursor, Windsurf, VSCodium)

Rozšíření pro prohlížeč: rodina Chromium (Chrome, Comet, Edge, Brave, Arc) a Firefox

Vyhodnoťte vystavení riziku bezpečně 

Bumblebee je pouze pro čtení. Čte soubory metadat přímo a nikdy nenechá spustit potenciálně ohrožené nástroje, což zabraňuje tomu, aby se skenování stalo rizikem. Nastavení Bumblebee pouze pro čtení pomáhá předcházet problémům s prováděním kódu během instalace.

Balíčky npm mohou obsahovat skripty spouštěné po instalaci, které se automaticky spustí v okamžiku, kdy se jich dotkne příkaz npm install. Takto se šířila většina nedávných červů v dodavatelském řetězci. Skener, který volá npm za účelem kontroly vystavení riziku, již spustil útok, který hledal. Bumblebee tomu zabraňuje tím, že se vyhýbá:

Spuštění kódu: nikdy nespouští instalační skripty ani háčky životního cyklu.

Volání správce balíčků: nikdy nespouští npm, pnpm, bun ani pip.

Čtení zdrojových souborů: nikdy nečte zdrojové soubory aplikací; čte metadata, jako jsou soubory zámků, manifesty a metadata nainstalovaných balíčků.

Monitorování procesů nebo sítě: Bumblebee není EDR.

Bumblebee je nyní k dispozici jako open-source projekt v jazyce Go pro vývojářské koncové body macOS a Linux. Bezpečnostní týmy si jej mohou stáhnout, spustit proti vlastnímu katalogu špatných verzí a výsledky přivést do jakéhokoli pracovního postupu reakce, který již používají.