Perplexity frigiir Bumblebee som åpen kildekode

I dag gjør vi et av våre interne verktøy åpen kildekode; verktøyet brukes til å beskytte utviklersystemene bak Perplexity, Comet og Computer.

Den raske utviklingen innen KI har brakt med seg ny kompleksitet til sikkerhetslandskapet, med sårbarheter som oppdages hver dag.

Ny trusler retter seg i økende grad mot programvarepakkene, utviklerverktøyene og de lokale miljøene som moderne ingeniørteam som Perplexity er avhengige av. Derfor må integriteten til produktene våre starte lenger opp i forsyningskjeden enn selve produksjonen.

I dag gjør vi et av våre interne verktøy åpen kildekode; verktøyet brukes til å beskytte utviklersystemene bak Perplexity, Comet og Computer.

Vi introduserer Bumblebee

Bumblebee er en skrivebeskyttet skanner vi bruker til å sjekke utvikleres maskiner for risikable pakker, utvidelser og KI-verktøykonfigurasjoner under hendelser i forsyningskjeden.

Bumblebee er nyttig for alle sikkerhetsteam. Hver gang en ny sårbarhet blir rapportert, må de vite med en gang om noen av maskinene deres har blitt eksponert.

Å gjøre Perplexity-produkter mer sikre for brukere starter med å beskytte utviklersystemene vi bygger dem med. Bumblebee er én komponent i vår bredere sikkerhetsarbeidsflyt der Perplexity Computer hjelper med å spore nye trusler, mennesker gjennomgår katalogoppdateringer, og Bumblebee sjekker om eksponerte komponenter dukker opp på tvers av utviklerendepunkter.

I dag frigir vi Bumblebee som åpen kildekode, slik at alle team kan bygge på det samme sikkerhetslaget.

Fra trusselsignal til endepunktsskanning

Ingeniørorganisasjoner kan nå kjøre Bumblebee med sine egne kataloger og gjennomgangsprosesser. Slik bruker vi Bumblebee internt:

Et trusselsignal identifiseres gjennom offentlige avsløringer, tredjeparts etterretningsstrømmer eller intern forskning.

Perplexity Computer utarbeider en katalogoppdatering. Den legger signalet inn i en strukturert oppføring (økosystem, navn, versjon) og åpner deretter en GitHub-PR med kildelenker.

Den går til manuell gjennomgang, og deretter flettes PR-en.

Bumblebee kjører på endepunkter med den oppdaterte katalogen.

Funn deles med sikkerhetsteamet.

Bumblebee støtter tre skanneprofiler, som forteller den hvor og hvor bredt det skal søkes:

Grunnlinjeprofil: Rutinemessig skanning av standard bærbar PC-plasseringer. Team planlegger dette gjennom sin egen MDM- eller flåtestyring.

Prosjektprofil: Målrettet skanning av spesifikke repoer eller arbeidsområder.

Dyp profil: Responsuke for aktive hendelser.

Hver oppdagelse kan spores, slik at man ser hvilken katalogoppføring som utløste registreringen, når den ble lagt til, og eventuelle bevis.

Sikkerhet starter på det lokale utviklergrensesnittet

SBOM- og sårbarhetsskannere håndterer repositorier og byggeartefakter. Endepunktinverteringsprodukter dekker installerte applikasjoner. Bumblebee kjører på utviklerens bærbar-PC. Den forteller deg om den maskinen har en bestemt pakke, versjon, utvidelse eller MCP-konfigurasjon installert når et forsyningskjedevarsel lander.

Hva Bumblebee gjennomgår

Eksisterende åpen kildekode-verktøy dekker gjerne én eller to av disse flatene. Bumblebee dekker alle fire:

Språkpakkebehandlere: npm, pnpm, Yarn, Bun, PyPI, Go-moduler, RubyGems, Composer

KI-agentkonfigurasjoner: MCP

Redigeringsutvidelser: VS Code-familien (VS Code, Cursor, Windsurf, VSCodium)

Nettleserutvidelser: Chromium-familien (Chrome, Comet, Edge, Brave, Arc) og Firefox

Evaluer eksponering på en sikker måte

Bumblebee er skrivebeskyttet. Den leser metadatafiler direkte og lar aldri potensielt kompromitterte verktøy kjøre, noe som forhindrer at skanningen blir en risiko. Å gjøre Bumblebee skrivebeskyttet bidrar til å unngå problemer med kodekjøring under installasjon.

npm-pakker kan inneholde skript som kjører automatisk i det øyeblikk npm install berører dem. Det er slik de fleste nylige forsyningskjedevormer har spredt seg. En skanner som kaller opp npm for å sjekke for eksponering, har allerede utløst angrepet den lette etter. Bumblebee forhindrer dette ved å unngå:

Kodekjøring: kjører aldri installasjonsskript eller livssykluskroker.

Pakkebehandlerkall: kjører aldri npm, pnpm, bun eller pip.

Kildefillesing: leser aldri applikasjonens kildekilder; den leser metadata som låsefiler, manifestfiler og metadata for installerte pakker.

Prosess- eller nettverksovervåking: Bumblebee er ikke en EDR.

Bumblebee er tilgjengelig nå som et Go-prosjekt med åpen kildekode for macOS- og Linux-utviklerendepunkter. Sikkerhetsteam kan laste det ned, kjøre det mot sin egen katalog over dårlige versjoner, og mate resultatene inn i hvilken som helst responsarbeidsflyt de allerede bruker.