Perplexity gefur Bumblebee út sem opinn hugbúnað

Hröð þróun gervigreindar hefur haft í för með sér nýja flækjustig í öryggismálum, en veikleikar finnast daglega.

Nýlegar ógnir beinast í auknum mæli að hugbúnaðarpökkum, þróunartækjum og staðbundnu umhverfi sem nútíma verkfræðiteymi eins og Perplexity treysta á. Þess vegna verður heilindi vara okkar að byrja lengra uppi í aðfangakeðjunni en í framleiðslunni.

Í dag gefum við út sem opinn hugbúnað eitt af innri tækjunum sem við notum til að vernda þróunarkerfin á bak við Perplexity, Comet og Computer.

Við kynnum Bumblebee

Bumblebee er skanni sem eingöngu les gögn og við notum til að kanna hvort áhættusamir pakkar, viðbætur og stillingar fyrir gervigreindartæki séu á tölvum þróunaraðila við atvik í aðfangakeðjunni.

Bumblebee gagnast öllum öryggisteymum. Hvenær sem nýtt öryggisgat er tilkynnt þurfa þau að vita strax hvort einhverjar tölvur þeirra hafi orðið fyrir barðinu á því.

Að gera vörur Perplexity öruggari fyrir notendur byrjar á því að vernda þróunarkerfin sem við smíðum þær með. Bumblebee er einn hluti af víðtækara öryggisverkflæði okkar þar sem Perplexity Computer hjálpar til við að fylgjast með nýjum ógnum, mennskir aðilar fara yfir uppfærslur á vörulista og Bumblebee kannar hvort útsettir íhlutir finnist á endapunktum þróunaraðila.

Í dag gefum við Bumblebee út sem opinn hugbúnað, þannig að öll teymi geti byggt ofan á sama öryggislagið.

Frá ógnarmerki til skönnunar á endapunkti

Verkfræðistofnanir geta nú keyrt Bumblebee með sínum eigin vörulistum og endurskoðunarferli. Hér er hvernig við notum Bumblebee innanhúss:

Ógnarmerki er borið kennsl á í gegnum opinberar tilkynningar, upplýsingaveitur frá þriðja aðila eða innri rannsóknir.

Perplexity Computer útbýr drög að uppfærslu á vörulista. Það skráir merkið í skipulagða færslu (vistkerfi, nafn, útgáfu) og opnar síðan GitHub pull-beiðni með upprunatenglum.

Það fer í mannlega endurskoðun, og í kjölfarið er pull-beiðnin sameinuð.

Bumblebee keyrir á endapunktum með uppfærða vörulistanum.

Niðurstöður eru deildar með öryggisteyminu.

Bumblebee styður þrjú skönnunarsnið, sem segja til um hvar og hve víðtækt eigi að leita:

Grunnsnið: Regluleg skönnun á staðsetningum á venjulegum fartölvum. Teymi skipuleggja það í gegnum eigin MDM- eða flotaverkfæri.

Verkefnasnið: Markviss skönnun á tilteknum gagnasöfnum eða vinnusvæðum.

Djúpsnið: Viðbragðshreinsun vegna virkra atvika.

Stækka

Hver greining er rekjanleg og sýnir hvaða vörulistafærsla kallaði fram skráninguna, hvenær henni var bætt við og allar sannanir.

Öryggi byrjar við staðbundið yfirborð þróunaraðila

SBOM- og veikleikaskannar sjá um gagnasöfn og byggingarafurðir. Vörur fyrir úttekt á endapunktum ná yfir uppsett forrit. Bumblebee keyrir á fartölvu þróunaraðila. Það segir þér hvort sú tölvuvél sé með tiltekinn pakka, útgáfu, viðbót eða MCP-stillingu uppsetta þegar viðvörun um aðfangakeðju berst.

Hvað Bumblebee fer yfir

Núverandi opnu verkfærin hafa tilhneigingu til að ná yfir eitt eða tvö af þessum yfirborðum. Bumblebee nær yfir öll fjögur:

Tungumálapakkastjórar: npm, pnpm, Yarn, Bun, PyPI, Go einingar, RubyGems, Composer

Stillingar gervigreindarumboðsmanna: MCP

Ritstjóraviðbætur: VS Code-fjölskyldan (VS Code, Cursor, Windsurf, VSCodium)

Vafraviðbætur: Chromium-fjölskyldan (Chrome, Comet, Edge, Brave, Arc) og Firefox

Meta útsetningu á öruggan hátt

Bumblebee les eingöngu gögn. Það les lýsigagnaskrár beint og leyfir hugbúnaðartækjum sem gætu verið sýkt aldrei að keyra, sem kemur í veg fyrir að skönnunin verði að áhættu. Að hafa Bumblebee í lesham hjálpar til við að koma í veg fyrir vandamál sem tengjast kóðakeyrslu við uppsetningu.

npm pakkar geta innihaldið forskriftir eftir uppsetningu sem keyra sjálfkrafa um leið og npm install snertir þá. Þannig hafa flestir nýlegir ormar í aðfangakeðjum breiðst út. Skanni sem kallar á npm til að athuga með útsetningu er þegar búinn að kveikja á þeirri árás sem hann var að leita að. Bumblebee kemur í veg fyrir þetta með því að forðast:

Kóðakeyrsla: keyrir aldrei uppsetningarforskriftir eða líftímatengi.

Köll í pakkastjóra: keyrir aldrei npm, pnpm, bun eða pip.

Lestur upprunaskráa: les aldrei upprunaskrár forrita; það les lýsigögn eins og læsingarskrár, upplýsingaskrár og lýsigögn uppsettra pakka.

Vöktun á ferlum eða neti: Bumblebee er ekki EDR-kerfi.

Bumblebee er fáanlegt núna sem opið Go verkefni fyrir macOS og Linux endapunkta þróunaraðila. Öryggisteymi geta hlaðið því niður, keyrt það gegn sínum eigin vörulista yfir slæmar útgáfur og matað niðurstöðurnar inn í það viðbragðsverkflæði sem þau nota nú þegar.