Perplexity lanza Bumblebee como código abierto

El rápido avance de la inteligencia artificial ha aportado una nueva complejidad al panorama de la seguridad, con vulnerabilidades descubiertas cada día.

Las amenazas recientes se dirigen cada vez más a los paquetes de software, las herramientas de desarrollo y los entornos locales en los que confían los equipos de ingeniería modernos como Perplexity. Por lo tanto, la integridad de nuestros productos debe comenzar mucho antes en la cadena de suministro que en la producción.

Hoy estamos lanzando como código abierto una de las herramientas internas que utilizamos para proteger los sistemas de desarrollo detrás de Perplexity, Comet y Computer.

Bumblebee es un escáner de solo lectura que utilizamos para comprobar si los equipos de los desarrolladores tienen paquetes, extensiones y configuraciones de herramientas de IA riesgosos durante incidentes en la cadena de suministro.

Bumblebee es útil para todos los equipos de seguridad. Cada vez que se informa sobre una nueva vulnerabilidad, necesitan saber de inmediato si alguna de sus máquinas estuvo expuesta.

Hacer que los productos de Perplexity sean más seguros para los usuarios comienza por proteger los sistemas de desarrollo con los que los construimos. Bumblebee es un componente de nuestro flujo de trabajo de seguridad más amplio, en el que Perplexity Computer ayuda a rastrear las amenazas emergentes, los humanos revisan las actualizaciones del catálogo y Bumblebee comprueba si los componentes expuestos aparecen en los extremos de los desarrolladores.

Hoy estamos lanzando Bumblebee como código abierto, para que cualquier equipo pueda construir sobre la misma capa de seguridad.

Las organizaciones de ingeniería ahora pueden ejecutar Bumblebee con sus propios catálogos y procesos de revisión. Así es como usamos Bumblebee internamente:

Se identifica una señal de amenaza a través de divulgaciones públicas, fuentes de inteligencia de terceros o investigación interna.

Perplexity Computer redacta una actualización de catálogo. Introduce la señal en una entrada estructurada (ecosistema, nombre, versión) y luego abre una solicitud de incorporación de cambios (PR) en GitHub con enlaces de origen.

Entra en revisión humana, tras lo cual se fusiona la solicitud de incorporación de cambios.

Bumblebee se ejecuta en los extremos con el catálogo actualizado.

Los hallazgos se comparten con el equipo de seguridad.

Bumblebee admite tres perfiles de análisis, que indican dónde y qué tan ampliamente buscar:

Perfil base: Análisis de rutina de ubicaciones estándar de computadoras portátiles. Los equipos lo programan a través de su propia MDM o herramientas de administración de flotas.

Perfil de proyecto: Análisis dirigido de repositorios o espacios de trabajo específicos.

Perfil profundo: Análisis de respuesta para incidentes activos.

Cada detección es rastreable y muestra qué entrada del catálogo activó el registro, cuándo se agregó y cualquier evidencia.

Los escáneres de SBOM y vulnerabilidades gestionan los repositorios y los artefactos de compilación. Los productos de inventario de extremos cubren las aplicaciones instaladas. Bumblebee se ejecuta en la computadora portátil del desarrollador. Te indica si esa máquina tiene instalado un paquete, versión, extensión o configuración de MCP específica cuando se publica un aviso de la cadena de suministro.

Las herramientas de código abierto existentes tienden a cubrir una o dos de estas superficies. Bumblebee cubre las cuatro:

Gestores de paquetes de lenguajes: npm, pnpm, Yarn, Bun, PyPI, módulos de Go, RubyGems, Composer

Configuraciones de agentes de IA: MCP

Extensiones de editores: familia de VS Code (VS Code, Cursor, Windsurf, VSCodium)

Extensiones de navegador: familia de Chromium (Chrome, Comet, Edge, Brave, Arc) y Firefox

Bumblebee es de solo lectura. Lee los archivos de metadatos directamente y nunca permite que se ejecuten herramientas potencialmente comprometidas, lo que evita que el análisis se convierta en el riesgo. Hacer que Bumblebee sea de solo lectura ayuda a evitar problemas con la ejecución de código en el momento de la instalación.

Los paquetes de npm pueden incluir scripts posteriores a la instalación que se ejecutan automáticamente en el momento en que npm install los toca. Así es como se han propagado la mayoría de los gusanos recientes de la cadena de suministro. Un escáner que invoca a npm para comprobar la exposición ya ha desencadenado el ataque que estaba buscando. Bumblebee evita esto al evitar:

Ejecución de código: nunca ejecuta scripts de instalación ni ganchos del ciclo de vida.

Invocación de gestores de paquetes: nunca ejecuta npm, pnpm, bun o pip.

Lectura de archivos fuente: nunca lee los archivos fuente de la aplicación; lee metadatos como archivos de bloqueo, manifiestos y metadatos de paquetes instalados.

Monitoreo de procesos o red: Bumblebee no es un EDR.

Bumblebee ya está disponible como un proyecto de Go de código abierto para extremos de desarrolladores de macOS y Linux. Los equipos de seguridad pueden descargarlo, ejecutarlo contra su propio catálogo de versiones defectuosas e introducir los resultados en cualquier flujo de trabajo de respuesta que ya utilicen.

Presentamos Bumblebee

De la señal de amenaza al análisis del extremo

La seguridad comienza en la superficie local del desarrollador

Lo que revisa Bumblebee

Evalúa la exposición de forma segura