A Perplexity nyílt forráskódúvá teszi a Bumblebee-t

Ma nyílt forráskódúvá tesszük az egyik belső eszközünket, amelyet a Perplexity, a Comet és a Computer mögött álló fejlesztői rendszerek védelmére használunk.

A mesterséges intelligencia gyors fejlődése új összetettséget hozott a biztonsági környezetbe, miközben nap nap után fedeznek fel sebezhetőségeket.

A legújabb fenyegetések egyre inkább azokat a szoftvercsomagokat, fejlesztői eszközöket és helyi környezeteket veszik célba, amelyekre az olyan modern mérnökcsapatok, mint a Perplexity is támaszkodnak. Így termékeink integritásának a termelésen túl, a szoftverellátási lánc korábbi szakaszában kell kezdődnie.

Ma nyílt forráskódúvá tesszük az egyik belső eszközünket, amelyet a Perplexity, a Comet és a Computer mögött álló fejlesztői rendszerek védelmére használunk.

Íme a Bumblebee

A Bumblebee egy csak olvasható szkenner, amellyel az ellátásilánc-incidensek során átvizsgáljuk a fejlesztői gépeket a kockázatos csomagok, bővítmények és MI-eszközkonfigurációk szempontjából.

A Bumblebee minden biztonsági csapat számára hasznos. Amikor új sebezhetőségről érkezik jelentés, azonnal tudniuk kell, hogy valamelyik gépük érintett-e.

Az, hogy a Perplexity termékei biztonságosabbak legyenek a felhasználók számára, az őket építő fejlesztői rendszerek védelmével kezdődik. A Bumblebee egy olyan elem a szélesebb körű biztonsági munkafolyamatunkban, amelyben a Perplexity Computer segít nyomon követni a feltörekvő fenyegetéseket, az emberek áttekintik a katalógusfrissítéseket, és a Bumblebee ellenőrzi, hogy a veszélyeztetett összetevők megjelennek-e a fejlesztői végpontokon.

Ma nyílt forráskódúvá tesszük a Bumblebee-t, hogy bármelyik csapat építkezhessen ugyanarra a biztonsági rétegre.

A fenyegetés jelzésétől a végpontok vizsgálatáig

A mérnöki szervezetek mostantól saját katalógusaikkal és felülvizsgálati folyamatukkal futtathatják a Bumblebee-t. Így használjuk a Bumblebee-t házon belül:

A fenyegetésre utaló jelet nyilvános közzétételek, külső fél származású hírszerzési hírcsatornák vagy belső kutatások révén azonosítják.

A Perplexity Computer összeállítja egy katalógusfrissítés tervezetét. A jelet egy strukturált bejegyzésbe (ökoszisztéma, név, verzió) rögzíti, majd forráshivatkozásokkal ellátott GitHub PR-t nyit.

Ezt követően emberi felülvizsgálat következik, amely után a PR beolvasztásra kerül.

A Bumblebee a frissített katalógussal fut a végpontokon.

A megállapításokat megosztják a biztonsági csapattal.

A Bumblebee három vizsgálati profilt támogat, amelyek megadják neki, hogy hol és milyen széles körben keressen:

Alapprofil: A szabványos laptophelyek rutinvizsgálata. A csapatok a saját MDM- vagy flottakezelő eszközükön keresztül ütemezik.

Projektprofil: Specifikus adattárak vagy munkaterületek célzott vizsgálata.

Mélyprofil: Válaszlépésként végzett átvizsgálás az aktív incidensekhez.

Minden észlelés visszakövethető: mutatja, hogy melyik katalógusbejegyzés váltotta ki a riasztást, mikor lett hozzáadva, és tartalmazza a bizonyítékokat is.

A biztonság a helyi fejlesztői felületnél kezdődik

Az SBOM- és sebezhetőség-szkennerek a repókat és a buildelési műtermékeket kezelik. A végponti leltártermékek a telepített alkalmazásokat fedik le. A Bumblebee a fejlesztő laptopján fut. Ha egy ellátásilánc-biztonsági figyelmeztetés érkezik, megmondja, hogy a gépen telepítve van-e egy adott csomag, verzió, bővítmény vagy MCP-konfiguráció.

Mit vizsgál át a Bumblebee

A meglévő nyílt forráskódú eszközök általában ezen felületek közül egyet vagy kettőt fednek le. A Bumblebee mind a négyet lefedj:

Nyelvi csomagkezelők: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

MI-ügynökkonfigurációk: MCP

Szerkesztőbővítmények: VS Code-család (VS Code, Cursor, Windsurf, VSCodium)

Böngészőbővítmények: Chromium-család (Chrome, Comet, Edge, Brave, Arc) és Firefox

Biztonságos expozícióértékelés

A Bumblebee csak olvasható. Közvetlenül a metaadatfájlokat olvassa, és soha nem hagyja futni a potenciálisan kompromittálódott eszközöket, ami megakadályozza, hogy maga a vizsgálat jelentse a kockázatot. A Bumblebee csak olvasható jellege segít elkerülni a telepítés idején történő kódfuttatással kapcsolatos problémákat.

Az npm-csomagok olyan utótelepítési (postinstall) parancsfájlokat tartalmazhatnak, amelyek automatikusan lefutnak abban a pillanatban, amikor az npm install hozzájuk ér. A legújabb ellátásilánc-féregvírusok is így terjedtek. Az a szkenner, amely az npm meghívásával ellenőrzi az expozíciót, máris kiváltotta azt a támadást, amit keresett. A Bumblebee az alábbiak elkerülésével előzi ezt meg:

Kódfuttatás: soha nem futtat telepítési parancsfájlokat vagy életciklus-hookokat.

Csomagkezelő meghívása: soha nem futtatja az npm, pnpm, bun vagy pip parancsokat.

Forrásfájlok olvasása: soha nem olvassa az alkalmazás forrásfájljait; olyan metaadatokat olvas, mint a lockfile-ok, manifestek és a telepített csomagok metaadatai.

Folyamat- vagy hálózatfigyelés: A Bumblebee nem EDR.

A Bumblebee mostantól elérhető nyílt forráskódú Go projektként macOS- és Linux-alapú fejlesztői végpontokhoz. A biztonsági csapatok letölthetik, lefuttathatják a rossz verziók saját katalógusa ellen, és az eredményeket betáplálhatják a már használt válaszmunkafolyamatukba.