Perplexity atver Bumblebee pirmkodu

Šodien mēs publicējam pirmkodu vienam no iekšējiem rīkiem, ko izmantojam, lai aizsargātu izstrādātāju sistēmas aiz Perplexity, Comet un Computer.

Mākslīgā intelekta straujā attīstība ir radījusi jaunu sarežģītību drošības jomā, un ievainojamības tiek atklātas katru dienu. 

Jaunākie draudi arvien vairāk vēršas pret programmatūras pakotnēm, izstrādātāju rīkiem un lokālajām vidēm, uz kurām paļaujas tādas modernas inženierijas komandas kā Perplexity. Tāpēc mūsu produktu integritātei ir jāsākas daudz agrāk piegādes ķēdē nekā ražošanā. 

Šodien mēs publicējam pirmkodu vienam no iekšējiem rīkiem, ko izmantojam, lai aizsargātu izstrādātāju sistēmas aiz Perplexity, Comet un Computer. 

Iepazīstinām ar Bumblebee

Bumblebee ir lasīšanas skeneris, ko izmantojam, lai piegādes ķēdes incidentu laikā pārbaudītu izstrādātāju datorus, meklējot riskantas pakotnes, paplašinājumus un MI rīku konfigurācijas. 

Bumblebee ir noderīgs visām drošības komandām. Ikreiz, kad tiek ziņots par jaunu ievainojamību, tām ir nekavējoties jāzina, vai kāds no to datoriem ir ticis pakļauts riskam. 

Perplexity produktu padarīšana drošākiem lietotājiem sākas ar to izstrādātāju sistēmu aizsardzību, ar kurām mēs tos veidojam. Bumblebee ir viena no komponentēm mūsu plašākajā drošības darbplūsmā, kurā Perplexity Computer palīdz izsekot topošajiem draudiem, cilvēki pārskata kataloga atjauninājumus un Bumblebee pārbauda, vai pakļautās komponentes parādās izstrādātāju galapunktos.

Šodien mēs atveram Bumblebee pirmkodu, lai jebkura komanda varētu balstīties uz šo pašu drošības slāni. 

No apdraudējuma signāla līdz galapunkta skenēšanai 

Inženierijas organizācijas tagad var palaist Bumblebee ar saviem katalografiem un pārskatīšanas procesu. Lūk, kā mēs Bumblebee izmantojam iekšēji: 

Apdraudējuma signāls tiek identificēts, izmantojot publiskas atklāšanas, trešo pušu informācijas plūsmas vai iekšējos pētījumus.

Perplexity Computer sagatavo kataloga atjauninājuma melnrakstu. Tas ievada signālu strukturētā ierakstā (ekosistēma, nosaukums, versija) un pēc tam atver GitHub PR ar avota saitēm. 

Tas tiek nodots cilvēka pārskatīšanai, pēc kura PR tiek sapludināts.

Bumblebee darbojas galapunktos ar atjaunināto katalogu.

Konstatētie dati tiek kopīgoti ar drošības komandu.

Bumblebee atbalsta trīs skenēšanas profilus, kas norāda, kur un cik plaši meklēt: 

Bāzlīnijas profils: standarta klēpjdatora atrašanās vietu ikdienas skenēšana. Komandas to plāno, izmantojot savu MDM vai flotes rīkus.  

Projekta profils: mērķtiecīga konkrētu repozitoriju vai darba vietu skenēšana.

Dziļais profils: reaģēšanas pārmeklēšana aktīviem incidentiem.

Katras atklāšanas izcelsme ir izsekojama, parādot, kurš kataloga ieraksts izraisīja reģistrāciju, kad tas tika pievienots un jebkādus pierādījumus. 

Drošība sākas vietējā izstrādātāja virsmā 

SBOM un ievainojamību skeneri apstrādā repozitorijus un būvēšanas artefaktus. Galapunktu inventarizācijas produkti aptver instalētās lietojamās programmas. Bumblebee darbojas uz izstrādātāja klēpjdatora. Tas norāda, vai šajā datorā ir instalēta konkrēta pakotne, versija, paplašinājums vai MCP konfigurācija, kad tiek saņemts piegādes ķēdes paziņojums.

Ko Bumblebee pārskata

Esošie atvērtā koda rīki parasti aptver vienu vai divas no šīm virsmām. Bumblebee aptver visas četras:

Valodu pakotņu pārvaldnieki: npm, pnpm, Yarn, Bun, PyPI, Go moduļi, RubyGems, Composer

MI aģenta konfigurācijas: MCP 

Redaktora paplašinājumi: VS Code saime (VS Code, Cursor, Windsurf, VSCodium)

Pārlūkprogrammas paplašinājumi: Chromium saime (Chrome, Comet, Edge, Brave, Arc) un Firefox

Droši novērtējiet pakļautību riskam 

Bumblebee ir tikai lasāms. Tas tieši nolasa metadatu failus un nekad neļauj darboties potenciāli kompromitētiem rīkiem, kas neļauj skenēšanai kļūt par risku. Bumblebee iestatīšana kā tikai lasāma palīdz izvairīties no problēmām ar koda izpildi instalēšanas laikā.

npm pakotnēs var būt pēctecīgās instalēšanas skripti, kas tiek palaisti automātiski brīdī, kad npm install tām pieskaras. Tā ir izplatījusies lielākā daļa jaunāko piegādes ķēdes tārpu. Skeneris, kas izsauc npm, lai pārbaudītu pakļautību riskam, jau ir izraisījis uzbrukumu, kuru tas meklēja. Bumblebee novērš šo, izvairoties no:

Koda izpilde: nekad nepalaiž instalēšanas skriptus vai dzīves cikla āķus.

Pakotņu pārvaldnieka izsaukšana: nekad nepalaiž npm, pnpm, bun vai pip.

Avota failu lasīšana: nekad nenolasa lietojumprogrammas avota failus; tas nolasa metadatus, piemēram, slēgfailus, manifestus un instalētās pakotnes metadatus.

Procesu vai tīkla uzraudzība: Bumblebee nav EDR.

Bumblebee tagad ir pieejams kā atvērtā koda Go projekts macOS un Linux izstrādātāju galapunktiem. Drošības komandas var to lejupielādēt, palaist pret savu slikto versiju katalogu un ievadīt rezultātus jebkurā reaģēšanas darbplūsmā, ko tās jau izmanto.