„Perplexity“ atveria „Bumblebee“ kodą

Sparti AI pažanga suteikė saugumo sričiai naujų sudėtingumų, o pažeidžiamumai aptinkami kasdien.

Naujausios grėsmės vis dažniau taikosi į programinės įrangos paketus, kūrėjų įrankius ir vietinę aplinką, kuria remiasi šiuolaikinės inžinierių komandos, tokios kaip „Perplexity“. Taigi mūsų produktų vientisumas turi prasidėti aukščiau tiekimo grandinėje nei gamyba.

Šiandien skelbiame vieno iš savo vidinių įrankių, kuriuos naudojame apsaugoti kūrėjų sistemas už „Perplexity“, „Comet“ ir „Computer“, pirminį kodą atvirą.

Pristatome „Bumblebee“

„Bumblebee“ yra tik skaitymui skirta nuskaitymo programa, kurią naudojame kūrėjų kompiuteriuose ieškodami rizikingų paketų, plėtinių ir AI įrankių konfigūracijų tiekimo grandinės incidentų metu.

„Bumblebee“ yra naudinga visoms saugumo komandoms. Pranešus apie naują pažeidžiamumą, joms reikia iš karto sužinoti, ar kuris nors iš jų kompiuterių buvo paveiktas.

„Perplexity“ produktų apsaugos didinimas vartotojams prasideda nuo kūrėjų sistemų, su kuriomis juos kuriame, apsaugos. „Bumblebee“ yra viena iš mūsų platesnės saugumo darbo eigos sudedamųjų dalių, kurioje „Perplexity Computer“ padeda stebėti kylančias grėsmes, specialistai peržiūri katalogo atnaujinimus, o „Bumblebee“ patikrina, ar paveikti komponentai yra kūrėjų galiniuose taškuose.

Šiandien atveriame „Bumblebee“ pirminį kodą, kad bet kuri komanda galėtų kurti naudodama tą patį saugumo sluoksnį.

Nuo grėsmės signalo iki galinio taško nuskaitymo

Inžinerijos organizacijos dabar gali naudoti „Bumblebee“ su savo katalogais ir peržiūros procesu. Štai kaip mes „Bumblebee“ naudojame viduje:

Grėsmės signalas identifikuojamas per viešus atskleidimus, trečiųjų šalių žvalgybos srautus arba vidinius tyrimus.

Perplexity Computer parengia katalogo atnaujinimo juodraštį. Jis įtraukia signalą į struktūrizuotą įrašą (ekosistema, pavadinimas, versija) ir atidaro „GitHub“ PR su šaltinio nuorodomis.

Jis perduodamas specialistų peržiūrai, po kurios PR yra sujungiamas.

„Bumblebee“ veikia galiniuose taškuose su atnaujintu katalogu.

Rezultatai bendrinami su saugumo komanda.

„Bumblebee“ palaiko tris nuskaitymo profilius, kurie nurodo, kur ir kokiu mastu ieškoti:

Bazinis profilis: Įprastas standartinių nešiojamojo kompiuterio vietų nuskaitymas. Komandos jį suplanuoja per savo MDM arba parko valdymo įrankius.

Projektinis profilis: Tikslinis konkrečių saugyklų arba darbo sričių nuskaitymas.

Išsamus profilis: Reagavimo patikra aktyviems incidentams.

Padidinti

Kiekvienas aptikimas yra atsekamas, nurodant, kuris katalogo įrašas sukėlė registraciją, kada jis buvo pridėtas ir kokie yra įrodymai.

Saugumas prasideda vietiniame kūrėjo paviršiuje

SBOM ir pažeidžiamumo skeneriai apdoroja saugyklas ir kūrimo artefaktus. Galinių taškų inventoriaus produktai apima įdiegtas programas. „Bumblebee“ veikia kūrėjo nešiojamajame kompiuteryje. Jis pasako, ar tame kompiuteryje įdiegtas konkretus paketas, versija, plėtinys arba MCP konfigūracija, kai paskelbiamas tiekimo grandinės įspėjimas.

Ką peržiūri „Bumblebee“

Esami atvirojo kodo įrankiai dažniausiai apima vieną arba du iš šių paviršių. „Bumblebee“ apima visus keturis:

Kalbos paketų tvarkyklės: npm, pnpm, Yarn, Bun, PyPI, Go moduliai, RubyGems, Composer

AI agentų konfigūracijos: MCP

Redaktoriaus plėtiniai: VS Code šeima (VS Code, Cursor, Windsurf, VSCodium)

Naršyklės plėtiniai: Chromium šeima (Chrome, Comet, Edge, Brave, Arc) ir Firefox

Saugiai įvertinkite poveikį

„Bumblebee“ yra tik skaitoma. Ji tiesiogiai skaito metaduomenų failus ir niekada neleidžia veikti potencialiai pažeistiems įrankiams, o tai neleidžia nuskaitymui tapti rizika. „Bumblebee“ padaro tik skaitomu, kad būtų išvengta problemų, susijusių su kodo vykdymu diegimo metu.

npm paketai gali turėti diegimo pabaigos (postinstall) scenarijus, kurie automatiškai paleidžiami vos „npm install“ juos palietus. Taip išplito dauguma naujausių tiekimo grandinės kirminų. Skeneris, kuris kviečia npm, kad patikrintų poveikį, jau sukėlė ataką, kurios ieškojo. „Bumblebee“ to išvengia vengdamas:

Kodo vykdymo: niekada nevykdo diegimo scenarijų ar gyvavimo ciklo kabliukų.

Paketų tvarkyklės iškvietimo: niekada nevykdo npm, pnpm, bun arba pip.

Šaltinio failų skaitymo: niekada neskaito taikomosios programos šaltinio failų; ji skaito metaduomenis, tokius kaip užrakinimo failai, manifestai ir įdiegtų paketų metaduomenys.

Procesų arba tinklo stebėjimo: „Bumblebee“ nėra EDR.

„Bumblebee“ jau galima įsigyti kaip atvirojo kodo „Go“ projektą, skirtą macOS ir Linux kūrėjų galiniams taškams. Saugumo komandos gali ją atsisiųsti, paleisti pagal savo blogų versijų katalogą ir perduoti rezultatus į bet kokią reagavimo darbo eigą, kurią jos jau naudoja.