Perplexity frigiver Bumblebee som open source

I dag frigiver vi som open-source et af de interne værktøjer, vi bruger til at beskytte udviklersystemerne bag Perplexity, Comet og Computer.

Den hurtige udvikling af AI har bragt ny kompleksitet til sikkerhedslandskabet med sårbarheder, der opdages hver dag.

Seneste trusler retter sig i stigende grad mod de softwarepakker, udviklerværktøjer og lokale miljøer, som moderne ingeniørteams som Perplexity er afhængige af. Så integriteten af vores produkter er nødt til at begynde længere oppe i forsyningskæden end produktionen.

I dag frigiver vi som open-source et af de interne værktøjer, vi bruger til at beskytte udviklersystemerne bag Perplexity, Comet og Computer.

Vi introducerer Bumblebee

Bumblebee er en skrivebeskyttet scanner, vi bruger til at tjekke udvikleres maskiner for risikable pakker, udvidelser og AI-værktøjskonfigurationer under hændelser i forsyningskæden.

Bumblebee er nyttig for alle sikkerhedsteams. Når en ny sårbarhed rapporteres, skal de vide med det samme, om nogen af deres maskiner blev eksponeret.

At gøre Perplexitys produkter mere sikre for brugere starter med at beskytte de udviklersystemer, vi bygger dem med. Bumblebee er en komponent i vores bredere sikkerhedsarbejdsgang, hvor Perplexity Computer hjælper med at spore nye trusler, mennesker Gennemgår katalogopdateringer, og Bumblebee tjekker, om eksponerede komponenter forekommer på tværs af udvikleres slutpunkter.

I dag frigiver vi Bumblebee som open-source, så ethvert team kan bygge videre på det samme sikkerhedslag.

Fra trusselsignal til slutpunktsscanning

Ingeniørorganisationer kan nu køre Bumblebee med deres egne kataloger og gennemgangsproces. Sådan bruger vi Bumblebee internt:

Et trusselsignal identificeres gennem offentlige afsløringer, tredjepartsintelligensfeeds eller intern forskning.

Perplexity Computer udarbejder et udkast til en katalogopdatering. Den indsætter signalet i en struktureret post (økosystem, navn, version) og åbner derefter en GitHub PR med kildelinks.

Den overgår til menneskelig gennemgang, hvorefter PR'en flettes.

Bumblebee kører på slutpunkter med det opdaterede katalog.

Resultater deles med sikkerhedsteamet.

Bumblebee understøtter tre scanningsprofiler, som fortæller den, hvor og hvor bredt der skal søges:

Baseline-profil: Rutinemæssig scanning af standardplaceringer på bærbar computer. Teams planlægger den gennem deres egen MDM- eller flådeværktøjskasse.

Projektprofil: Målrettet scanning af specifikke arkiver eller arbejdsområder.

Dyb profil: Reaktionen kan feje for aktive hændelser.

Hver registrering kan spores og viser, hvilken katalogpost der udløste indberetningen, hvornår den blev tilføjet, og eventuelle beviser.

Sikkerhed starter ved den lokale udviklerflade

SBOM- og sårbarhedscannere håndterer repositories og byggeartefakter. Slutpunktslagerprodukter dækker installerede applikationer. Bumblebee kører på udviklerens bærbar. Den fortæller dig, om den maskine har en specifik pakke, version, udvidelse eller MCP-konfiguration installeret, når en forsyningskæderådgivning lander.

Hvad Bumblebee gennemgår

Eksisterende open source-værktøjer har en tendens til at dække en eller to af disse overflader. Bumblebee dækker alle fire:

Sprogpakkehåndtering: npm, pnpm, Yarn, Bun, PyPI, Go-moduler, RubyGems, Composer

AI-agentkonfigurationer: MCP

Editor-udvidelser: VS Code-familie (VS Code, Cursor, Windsurf, VSCodium)

Browserudvidelser: Chromium-familie (Chrome, Comet, Edge, Brave, Arc) og Firefox

Evaluer eksponering sikkert

Bumblebee er skrivebeskyttet. Den læser metadatafiler direkte og tillader aldrig potentielt kompromitterede værktøjer at køre, hvilket forhindrer scanningen i at blive risikoen. At gøre Bumblebee skrivebeskyttet hjælper med at undgå problemer med kodeudførelse under installationen.

npm-pakker kan indeholde postinstall-scripts, der kører automatisk i det øjeblik, npm install berører dem. Det er sådan, de fleste nyeste orme i forsyningskæden har spredt sig. En scanner, der påkalder sig npm for at tjekke for eksponering, har allerede udløst det angreb, den ledte efter. Bumblebee forhindrer dette ved at undgå:

Kodeudførelse: kører aldrig installationsscripts eller livscykluskroge.

Kald af pakkehåndtering: kører aldrig npm, pnpm, bun eller pip.

Læsning af kildefiler: læser aldrig applikationens kildefiler; den læser metadata såsom lockfiles, manifestfiler og installeret pakkemetadata.

Proces- eller netværksovervågning: Bumblebee er ikke en EDR.

Bumblebee er tilgængelig nu som et open source Go-projekt til macOS- og Linux-udviklerslutpunkter. Sikkerhedsteams kan downloade det, køre det mod deres eget katalog over dårlige versioner og føre resultaterne ind i hvilken som helst arbejdsproces, de allerede bruger.