Perplexity פותחת את קוד המקור של Bumblebee

היום אנו פותחים את קוד המקור של אחד הכלים הפנימיים שבהם אנו משתמשים כדי להגן על מערכות המפתחים שמאחורי Perplexity, Comet ו-Computer.

ההתקדמות המהירה של הבינה המלאכותית הביאה מורכבות חדשה לנוף האבטחה, כאשר מדי יום מתגלות חולשות אבטחה.

איומים עדכניים מכוונים יותר ויותר אל חבילות התוכנה, כלי המפתחים והסביבות המקומיות שעליהן צוותי הנדסה מודרניים כמו Perplexity סומכים. לכן, שלמות המוצרים שלנו חייבת להתחיל מוקדם יותר בשרשרת האספקה מאשר בשלב הייצור.

היום אנו הופכים לקוד פתוח את אחד הכלי הפנימיים שבהם אנו משתמשים כדי להגן על מערכות המפתחים שמאחורי Perplexity, Comet ו-Computer.

הכירו את Bumblebee

Bumblebee הוא סורק לקריאה בלבד שבו אנו משתמשים כדי לבדוק במכונות של מפתחים האם קיימות חבילות, תוספים והגדרות של כלי בינה מלאכותית שמעלים סיכון במהלך אירועים בשרשרת האספקה.

Bumblebee שימושי לכל צוותי האבטחה. בכל פעם שמדווחת חולשת אבטחה חדשה, הם צריכים לדעת מיד אם מי מהמכונות שלהן נחשפה.

הפיכת מוצרי Perplexity לבטוחים יותר עבור המשתמשים מתחילה בהגנה על מערכות המפתחים שבאמצעותן אנו בונים אותם. Bumblebee הוא רכיב אחד מתוך תהליך העבודה הרחב יותר שלנו באבטחה, שבו Perplexity Computer מסייע במעקב אחר איומים מתפתחים, בני אדם סוקרים עדכוני קטלוג, ו-Bumblebee בודק אם רכיבים חשופים מופיעים בנקודות הקצה של המפתחים.

היום אנו פותחים את קוד המקור של Bumblebee לקוד פתוח, כדי שכל צוות יוכל לבנות על גבי שכבת האבטחה הזו.

מסיגנל איומים ועד לסריקת נקודות קצה

ארגוני הנדסה יכולים כעת להריץ את Bumblebee עם הקטלוגים ותהליך הסקירה שלהם. כך אנו משתמשים ב-Bumblebee פנימית:

סיגנל איומים מזוהה באמצעות חשיפות ציבוריות, הזנות מודיעין צד שלישי או מחקר פנימי.

Perplexity Computer מנסח עדכון לקטלוג. הוא מזין את הסיגנל לרשומה מובנית (מערכת אקולוגית, שם, גרסה), ולאחר מכן פותח PR ב-GitHub עם קישורי מקור.

הוא נכנס לסקירה אנושית, שלאחריה ה-PR ממוזגת.

Bumblebee פועל בנקודות קצה עם הקטלוג מעודכן.

הממצאים משותפים עם צוות האבטחה.

Bumblebee תומך בשלושה פרופילי סריקה, המציינים היכן ובאיזו מידה לחפש:

פרופיל בסיס: סריקה שגרתית של מיקומי מחשבים ניידים רגילים. צוותים קובעים להם לו

פרופיל פרויקט: סריקה ממוקדת של מאגרים או סביבות עבודה ספציפיות.

פרופיל עמוק: סריקת תגובה עבור אירועים פעילים.

כל זיהוי ניתן למעקב, ומציג איזו רשומה בקטלוג הפעילה את הדיווח, מתי היא נוספה וכל ראיה שהיא.

האבטחה מתחילה במשטח המפתח המקומי

כלי סריקת SBOM ופגיעות מטפלים במאגרים ובתוצרי בנייה. מוצרי מלאי נקודות קצה מכסים יישומים מותקנים. Bumblebee רץ על המחשב הנייד של המפתח. הוא אומר לך אם למכונה הזו מותקנת חבילה, גרסה, תוסף או הגדרת MCP ספציפיים כאשר מפורסמת התראת שרשרת אספקה.

מה Bumblebee סוקר

כלי בקוד פתוח קיימים נוטים לכסות משטח אחד או שניים מאלה. Bumblebee מכסה את כל ארבעתם:

מנהלי חבילות של שפות: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

הגדרות סוכני בינה מלאכותית: MCP

תוספי עורך: משפחת VS Code (VS Code, Cursor, Windsurf, VSCodium)

תוספי דפדפן: משפחת Chromium (Chrome, Comet, Edge, Brave, Arc) ו-Firefox

הערך חשיפה בבטחה

Bumblebee הוא לקריאה בלבד. הוא קורא קבצי מטא-דאטה ישירות ולעולם אינו מאפשר לכלים שעלולים להיות פגומים לרוץ, דבר המונע מהסריקה להפוך לסיכון בעצמה. הפיכת Bumblebee לקריאה בלבד מסייעת להימנע מבעיות הקשורות להפעלת קוד בזמן ההתקנה.

חבילות npm יכולות לשאת סקריפטים של לאחר-התקנה הפועלים אוטומטית ברגע ש-npm install נוגע בהם. כך התפשטו רוב תולעי שרשרת האספקה האחרונות. סורק שמפעיל את npm כדי לבדוק חשיפה כבר הפעיל את המתקפה שאותה חיפש. Bumblebee מונע זאת על ידי הימנעות מ:

הפעלת קוד: לעולם אינו מריץ סקריפטים של התקנה או הוקים של מחזור חיים.

הפעלת מנהל חבילות: לעולם אינו מריץ npm, pnpm, bun או pip.

קריאת קבצי מקור: לעולם אינו קורא קבצי מקור של יישומים; הוא קורא מטא-דאטה כגון קבצי נעילה (lockfiles), מניפסטים ומטא-דאטה של חבילות מותקנות.

ניטור תהליכים או רשת: Bumblebee אינו מערכת EDR.

Bumblebee זמין כעת כפרויקט Go בקוד פתוח עבור נקודות קצה של מפתחים ב-macOS וב-Linux. צוותי אבטחה יכולים להוריד אותו, להריץ אותו כנגד הקטלוג שלהם של גרסאות פגומות, ולהזין את התוצאות לאיזה תהליך עבודה של תגובה שהם כבר משתמשים בו.