Perplexity uvoľňuje Bumblebee ako open-source

Dnes uvoľňujeme ako open-source jeden z interných nástrojov, ktoré používame na ochranu vývojárskych systémov za produktmi Perplexity, Comet a Computer.

Rýchly rozvoj umelej inteligencie priniesol nové zložitosti do oblasti bezpečnosti, pričom každý deň sú objavované nové zraniteľnosti.

Nedávne hrozby čoraz častejšie zameriavajú svoje útoky na softvérové balíky, vývojárske nástroje a lokálne prostredia, na ktoré sa moderné inžinierske tímy ako Perplexity spoliehajú. Integrita našich produktov tak musí začínať oveľa skôr v dodávateľskom reťazci než až pri samotnej výrobe.

Dnes uvoľňujeme ako open-source jeden z interných nástrojov, ktoré používame na ochranu vývojárskych systémov za produktmi Perplexity, Comet a Computer.

Predstavujeme Bumblebee

Bumblebee je skener s právom iba na čítanie, ktorý používame na kontrolu vývojárskych zariadení, či neobsahujú rizikové balíky, rozšírenia a konfigurácie nástrojov AI počas incidentov v dodávateľskom reťazci.

Bumblebee je užitočný pre všetky bezpečnostné tímy. Kedykoľvek je nahlásená nová zraniteľnosť, musia okamžite vedieť, či boli niektoré z ich zariadení vystavené riziku.

Zvyšovanie bezpečnosti produktov Perplexity pre používateľov začína ochranou vývojárskych systémov, s ktorými ich vytvárame. Bumblebee je jednou zo súčastí nášho širšieho bezpečnostného pracovného postupu, kde Perplexity Computer pomáha sledovať vznikajúce hrozby, ľudia kontrolujú aktualizácie katalógu a Bumblebee preveruje, či sa exponované komponenty vyskytujú naprieč vývojárskymi koncovými bodmi.

Dnes sprístupňujeme Bumblebee ako open-source, aby na rovnakej bezpečnostnej vrstve mohol stavať ktorýkoľvek tím.

Od signálu hrozby až po skenovanie koncového bodu

Inžinierske organizácie môžu teraz spúšťať Bumblebee s vlastnými katalógmi a procesom kontroly. Tu je návod, ako Bumblebee používame interne:

Signál hrozby je identifikovaný prostredníctvom verejných zverejnení, spravodajských feedov tretích strán alebo interného výskumu.

Perplexity Computer pripraví návrh aktualizácie katalógu. Vloží signál do štruktúrovaného záznamu (ekosystém, názov, verzia) a potom otvorí GitHub PR s odkazmi na zdroj.

Prechádza ľudskou kontrolou, po ktorej je PR zlučený.

Bumblebee sa spúšťa na koncových bodoch s aktualizovaným katalógom.

Zistenia sú zdieľané s bezpečnostným tímom.

Bumblebee podporuje tri profily skenovania, ktoré určujú, kde a v akom rozsahu sa má vyhľadávať:

Základný profil: Bežná kontrola štandardných umiestnení v prenosnom počítači. Tímy si ju plánujú prostredníctvom vlastného MDM alebo nástrojov na správu flotily.

Projektový profil: Cielená kontrola konkrétnych repozitárov alebo pracovných priestorov.

Hĺbkový profil: Reakčný výpad pre aktívne incidenty.

Každá detekcia je vystopovateľná, pričom ukazuje, ktorý záznam v katalógu spustil hlásenie, kedy bol pridaný a akékoľvek dôkazy.

Bezpečnosť začína na lokálnej vývojárskej vrstve

Skenery SBOM a zraniteľností spravujú repozitáre a stavebné artefakty. Produkty na inventarizáciu koncových bodov pokrývajú nainštalované aplikácie. Bumblebee sa spúšťa na notebooku vývojára. Informuje vás, či má tento počítač nainštalovaný konkrétny balík, verziu, rozšírenie alebo konfiguráciu MCP v momente, keď sa objaví bezpečnostné odporúčanie týkajúce sa dodávateľského reťazca.

Čo Bumblebee kontroluje

Existujúce open-source nástroje zvyčajne pokrývajú jeden alebo dva z týchto povrchov. Bumblebee pokrýva všetky čtyri:

Správcovia jazykových balíkov: npm, pnpm, Yarn, Bun, PyPI, Go moduly, RubyGems, Composer

Konfigurácie AI agentov: MCP

Rozšírenia editora: rodina VS Code (VS Code, Cursor, Windsurf, VSCodium)

Rozšírenia prehliadača: rodina Chromium (Chrome, Comet, Edge, Brave, Arc) a Firefox

Bezpečne vyhodnoťte vystavenie riziku

Bumblebee má právo iba na čítanie. Číta súbory metadát priamo a nikdy nedovolí spustiť potenciálne kompromitované nástroje, čo zabraňuje tomu, aby sa samotné skenovanie stalo rizikom. Nastavenie režimu iba na čítanie pomáha predchádzať problémom s vykonávaním kódu počas inštalácie.

Balíky npm môžu obsahovať skripty pre inštaláciu, ktoré sa spúšťajú automaticky v momente, keď sa ich npm install dotkne. Takto sa šírila väčšina nedávnych červov v dodávateľskom reťazci. Skener, ktorý vyvoláva npm na kontrolu vystavenia riziku, už spustil útok, ktorý hľadal. Bumblebee tomu zabraňuje tak, že sa vyhýba:

Spúšťaniu kódu: nikdy nespúšťa inštalačné skripty ani životné cykly hákov.

Vyvolávaniu správcov balíkov: nikdy nespúšťa npm, pnpm, bun ani pip.

Čítaniu zdrojových súborov: nikdy nečíta zdrojové súbory aplikácií; číta metadáta, ako sú súbory zámkov, manifesty a metadáta nainštalovaných balíkov.

Monitorovaniu procesov alebo siete: Bumblebee nie je EDR.

Bumblebee je teraz k dispozícii ako open-source projekt v jazyku Go pre koncové body vývojárov so systémami macOS a Linux. Bezpečnostné tímy si ho môžu stiahnuť, spustiť ho proti vlastnému katalógu chybných verzií a výsledky zapracovať do akéhokoľvek pracovného postupu reakcie, ktorý už používajú.