Perplexity nudi Bumblebee kao otvoreni kod

Danas nudimo kao otvoreni kod jedan od internih alata koje koristimo za zaštitu razvojnih sustava iza Perplexityja, Cometa i Computera.

Brzi razvoj umjetne inteligencije unio je novu složenost u sigurnosno okruženje, s ranjivostima koje se otkrivaju svaki dan.

Nedavne prijetnje sve više ciljaju softverske pakete, razvojne alate i lokalna okruženja na koja se moderne inženjerske timovi poput Perplexityja oslanjaju. Stoga integritet naših proizvoda mora započeti puno prije proizvodnje, u ranijim fazama opskrbnog lanca.

Danas nudimo kao otvoreni kod jedan od internih alata koje koristimo za zaštitu razvojnih sustava koji stoje iza Perplexityja, Cometa i Computera.

Predstavljamo Bumblebee

Bumblebee je skener koji samo čita podatke a koristimo ga za provjeru rizičnih paketa, ekstenzija i konfiguracija AI alata na razvojnim računalima tijekom incidenata u opskrbnom lancu.

Bumblebee je koristan svim sigurnosnim timovima. Kad god se prijavi nova ranjivost, oni moraju odmah znati jesu li neka od njihovih računala bila izložena.

Povećanje sigurnosti Perplexityjevih proizvoda za korisnike počinje zaštitom razvojnih sustava pomoću kojih ih gradimo. Bumblebee je jedna komponenta u našem širem sigurnosnom tijeku rada u kojem Perplexity Computer pomaže u praćenju novih prijetnji, ljudi pregledavaju ažuriranja kataloga, a Bumblebee provjerava pojavljuju li se izložene komponente na razvojnim krajnjim točkama.

Danas Bumblebee činimo dostupnim kao otvoreni kod, tako da svaki tim može graditi na istom sigurnosnom sloju.

Od signala prijetnje do skeniranja krajnje točke

Inženjerske organizacije sada mogu pokretati Bumblebee sa svojim vlastitim katalozima i postupkom pregleda. Evo kako ga mi interno koristimo:

Signal prijetnje identificira se putem javnih objava, izvora informacija trećih strana ili internog istraživanja.

Perplexity Computer izrađuje nacrt ažuriranja kataloga. Unosi signal u strukturirani zapis (ekosustav, naziv, verzija), a zatim otvara GitHub PR s poveznicama na izvor.

Ulazi u ljudsku reviziju, nakon čega se PR spaja (merga).

Bumblebee se pokreće na krajnjim točkama s ažuriranim katalogom.

Nalazi se dijele sa sigurnosnim timom.

Bumblebee podržava tri profila skeniranja, koji mu govore gdje i koliko široko pretraživati:

Osnovni profil: Rutinsko skeniranje standardnih lokacija na prijenosnim računalima. Timovi ga zakazuju kroz vlastiti MDM ili alat za upravljanje voznim parkom uređaja.

Projektni profil: Ciljano skeniranje određenih repozitorija ili radnih prostora.

Duboki profil: Pregled za reagiranje na aktivne incidente.

Svako otkrivanje može se pratiti, pokazujući koji je unos u katalog pokrenuo prijavu, kada je dodan i sve dokaze.

Sigurnost počinje na lokalnoj površini razvojnog inženjera

SBOM i skeneri ranjivosti obrađuju repozitorije i artefakt izgrađivanja. Proizvodi za inventar krajnjih točaka pokrivaju instalirane aplikacije. Bumblebee se pokreće na prijenosnom računalu razvojnog inženjera. Govori vam ima li to računalo instaliran određeni paket, verziju, ekstenziju ili MCP konfiguraciju kada se pojavi obavijest o opskrbnom lancu.

Što Bumblebee pregledava

Postojeći alati otvorenog koda obično pokrivaju jednu ili dvije od ovih površina. Bumblebee pokriva svih četiri:

Upravitelji jezičnim paketima: npm, pnpm, Yarn, Bun, PyPI, Go moduli, RubyGems, Composer

Konfiguracije AI agenata: MCP

Ekstenzije uređivača: obitelj VS Code (VS Code, Cursor, Windsurf, VSCodium)

Ekstenzije preglednika: obitelj Chromium (Chrome, Comet, Edge, Brave, Arc) i Firefox

Sigurno procijenite izloženost

Bumblebee samo čita. Datoteke s metapodacima čita izravno i nikada ne dopušta izvođenje potencijalno kompromitiranih alata, čime se sprječava da skeniranje postane rizik. Činjenica da Bumblebee samo čita pomaže izbjeći probleme s izvođenjem koda tijekom instalacije.

npm paketi mogu sadržavati skripte koje se pokreću automatski u trenutku kada ih npm install dotakne. Tako se proširilo većina nedavnih crva u opskrbnom lancu. Skener koji poziva npm radi provjere izloženosti već je pokrenuo napad koji je tražio. Bumblebee to sprječava izbjegavanjem sljedećeg:

Izvođenje koda: nikada ne pokreće instalacijske skripte ili kuke životnog ciklusa.

Pozivanje upravitelja paketima: nikada ne pokreće npm, pnpm, bun ili pip.

Čitanje izvornih datoteka: nikada ne čita izvorne datoteke aplikacije; čita metapodatke kao što su zaključane datoteke, manifesti i metapodaci instaliranih paketa.

Praćenje procesa ili mreže: Bumblebee nije EDR.

Bumblebee je sada dostupan kao Go projekt otvorenog koda za razvojne krajnje točke na macOS-u i Linuxu. Sigurnosni timovi ga mogu preuzeti, pokrenuti protiv vlastitog kataloga loših verzija i unijeti rezultate u bilo koji tijek rada za odgovor koji već koriste.