Perplexity publica en código aberto Bumblebee

Hoxe estamos a publicar en código aberto unha das nosas ferramentas internas que empregamos para protexer os sistemas de desenvolvemento detrás de Perplexity, Comet e Computer.

O rápido avance da IA trouxo unha nova complexidade ao panorama da seguridade, con vulnerabilidades descubertas cada día.

As ameazas recentes céntranse cada vez máis nos paquetes de software, as ferramentas de desenvolvemento e os entornas locais dos que dependen os equipos de enxeñería modernos como Perplexity. Así pois, a integridade dos nosos produtos ten que comezar máis arriba na cadea de subministración que a propia produción.

Hoxe estamos a publicar en código aberto unha das nosas ferramentas internas que empregamos para protexer os sistemas de desenvolvemento detrás de Perplexity, Comet e Computer.

Presentamos Bumblebee

Bumblebee é un escáner de só lectura que usamos para comprobar se as máquinas dos programadores teñen paquetes, extensións e configuracións de ferramentas de IA sospeitosas durante incidentes na cadea de subministración.

Bumblebee é útil para todos os equipos de seguridade. Cada vez que se informa dunha nova vulnerabilidade, necesitan saber de inmediato se algunha das súas máquinas estivo exposta.

Facer que os produtos de Perplexity sexan máis seguros para os usuarios comeza por protexer os sistemas de desenvolvemento cos que os construímos. Bumblebee é un compoñente do noso fluxo de traballo de seguridade máis amplo, no que Perplexity Computer axuda a rastrexar as ameazas emerxentes, os humanos revisan as actualizacións do catálogo e Bumblebee comproba se os compoñentes expostos aparecen nos puntos finais dos programadores.

Hoxe estamos a publicar Bumblebee en código aberto para que calquera equipo poida construír sobre a mesma capa de seguridade.

Do sinal de ameaza á exploración do punto final

As organizacións de enxeñería poden agora executar Bumblebee cos seus propios catálogos e procesos de revisión. Así é como usamos Bumblebee internamente:

Identifícase un sinal de ameaza a través de divulgacións públicas, fontes de intelixencia de terceiros ou investigación interna.

Perplexity Computer redacta unha actualización do catálogo. Introduce o sinal nunha entrada estruturada (ecosistema, nome, versión) e logo abre unha PR de GitHub con ligazóns á fonte.

Entra en revisión humana, despois da cal a PR fusiónase.

Bumblebee execútase nos puntos finais co catálogo actualizado.

Os descubrimentos compártense co equipo de seguridade.

Bumblebee admite tres perfís de dixitalización, que indican onde e con que amplitude debe buscar:

Perfil de referencia: dixitalización rutineira das localizacións estándar do portátil. Os equipos progámana a través da súa propia ferramenta de MDM ou de xestión de flotas.

Perfil de proxecto: dixitalización dirixida de repositorios ou espazos de traballo específicos.

Perfil profundo: varrido de resposta para incidentes activos.

Cada detección é rastrexable e mostra qué entrada do catálogo provocou a alerta, cando se engadiu e calquera evidencia.

A seguridade comeza na superficie local do programador

Os escáneres de SBOM e de vulnerabilidades xestionan os repositorios e os artefactos de compilación. Os produtos de inventario de puntos finais cobren as aplicacións instaladas. Bumblebee execútase no portátil do programador. Cóntache se esa máquina ten instalado un paquete, versión, extensión ou configuración de MCP específica cando chega un aviso da cadea de subministración.

O que revisa Bumblebee

As ferramentas existentes de código aberto adoitan cubrir unha ou dúas destas superficies. Bumblebee cúbreas as catro:

Xestores de paquetes de linguaxe: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

Configuracións de axentes de IA: MCP

Extensións de editores: familia VS Code (VS Code, Cursor, Windsurf, VSCodium)

Extensións de navegadores: familia Chromium (Chrome, Comet, Edge, Brave, Arc) e Firefox

Avalía a exposición con seguridade

Bumblebee é de só lectura. Le os ficheiros de metadatos directamente e nunca permite que se executen ferramentas potencialmente comprometidas, o que evita que a dixitalización se converta nun risco. Facer que Bumblebee sexa de só lectura axuda a evitar problemas coa execución de código durante a instalación.

Os paquetes de npm poden conter scripts posteriores á instalación que se executan automaticamente no momento en que npm install os toca. Así é como se propagaron a maioría dos vermes recentes da cadea de subministración. Un escáner que invoca npm para comprobar a exposición xa provocou o ataque que estaba a buscar. Bumblebee evita isto evitando:

Execución de código: nunca executa scripts de instalación nin ganchos do ciclo de vida.

Invocación do xestor de paquetes: nunca executa npm, pnpm, bun ou pip.

Lectura de ficheiros fonte: nunca le os ficheiros fonte da aplicación; le metadatos como ficheiros de bloqueo, manifestos e metadatos de paquetes instalados.

Monitorización de procesos ou rede: Bumblebee non é un EDR.

Bumblebee xa está dispoñible como un proxecto de Go en código aberto para puntos finais de programadores en macOS e Linux. Os equipos de seguridade poden descargalo, executalo contra o seu propio catálogo de versións erróneas e alimentar os resultados en calquera fluxo de traballo de resposta que xa estean a usar.