Perplexity отвара код алата Bumblebee

Данас отвараме код једног од наших интерних алата које користимо за заштиту система за програмере који стоје иза система Perplexity, Comet и Computer.

Брзи развој вјештачке интелигенције донио је нову сложеност пејзажу безбједности, при чему се рањивости откривају свакодневно.

Недавне пријетње све више циљају софтверске пакете, алате за програмере и локална окружења на која се ослањају савремени инжењерски тимови као што је Perplexity. Стога интегритет наших производа мора почети даље у ланцу снабдијевања него у производњи.

Данас отвараме код једног од наших интерних алата које користимо за заштиту система за програмере који стоје иза система Perplexity, Comet и Computer.

Представљамо Bumblebee

Bumblebee је сканер само за читање који користимо за провјеру машина програмера у потрази за ризичним пакетима, екстензијама и конфигурацијама алата вјештачке интелигенције током инцидената у ланцу снабдијевања.

Bumblebee је користан за све тимове за безбједност. Када год се пријави нова рањивост, они морају одмах да знају да ли је било која од њихових машина изложена.

Чињеница да производи Perplexity постају безбједнији за кориснике почиње заштитом система за програмере помоћу којих их градимо. Bumblebee је једна компонента у нашем ширем ток рада безбједности гдје Perplexity Computer помаже у праћењу нових пријетњи, људи прегледају ажурирања каталога, а Bumblebee провјерава да ли се изложене компоненте појављују на крајњим тачкама програмера.

Данас отвараме код алата Bumblebee, тако да сваки тим може да гради на истом слоју безбједности.

Од сигнала пријетње до сканирања крајње тачке

Инжењерске организације сада могу да покрену Bumblebee са сопственим каталозима и процесом прегледа. Ево како ми интерно користимо Bumblebee:

Сигнал пријетње се идентификује путем јавних објава, фидова обавјештајних података трећих страна или интерног истраживања.

Perplexity Computer припрема нацрт ажурирања каталога. Он уноси сигнал у структуирани унос (екосистем, назив, верзију), а затим отвара GitHub PR са линковима извора.

Улази у људски преглед, након чега се PR спаја.

Bumblebee се покреће на крајњим тачкама са ажурираним каталогом.

Налази се дијеле са тимом за безбједност.

Bumblebee подржава три профила сканирања, који му говоре гдје и колико широко да претражује:

Основни профил: Рутинско сканирање стандардних локација на лаптопу. Тимови га заказују кроз сопствени MDM или алат за управљање возним парком.

Профил пројекта: Циљано сканирање специфичних репозиторијума или радних простора.

Дубоки профил: Преглед као одговор на активне инциденте.

Свака детекција се може пратити, приказујући који је унос каталога покренуо пријаву, када је додат и све доказе.

Безбједност почиње на локалној површини програмера

SBOM и сканери рањивости обрађују репозиторијуме и артефакт изградње. Производи за попис крајњих тачака покривају инсталиране апликације. Bumblebee се покреће на лаптопу програмера. Он вам говори да ли та машина има инсталиран одређени пакет, верзију, екстензију или MCP конфигурацију када стигне савјет у вези са ланцем снабдијевања.

Шта Bumblebee прегледа

Постојећи алати отвореног кода обично покривају једну или двије од ових површина. Bumblebee покрива све четири:

Менаџери језичких пакета: npm, pnpm, Yarn, Bun, PyPI, Go модули, RubyGems, Composer

Конфигурације AI агената: MCP

Екстензије уређивача: Породица VS Code (VS Code, Cursor, Windsurf, VSCodium)

Прегледачи екстензија: Породица Chromium (Chrome, Comet, Edge, Brave, Arc) и Firefox

Безбједно процијените изложеност

Bumblebee је само за читање. Он чита датотеке метаподатака директно и никада не дозвољава покретање потенцијално компромитованих алата, што спријечава да сканирање постане ризик. Чињеница да је Bumblebee само за читање помаже у избјегавању проблема са извршавањем кода током инсталације.

npm пакети могу носе скрипте за извршавање након инсталације које се аутоматски покрећу у тренутку када их npm install додирне. Тако се ширио већи број најновијих црва у ланцу снабдијевања. Сканер који позива npm ради провјере изложености већ је покренуо напад који је тражио. Bumblebee ово спријечава избјегавањем:

Извршавање кода: никада не покреће инсталационе скрипте или хукове животног циклуса.

Позивање менаџера пакета: никада не покреће npm, pnpm, bun или pip.

Читање изворне датотеке: никада не чита изворне датотеке апликације; он чита метаподатке као што су lockfiles, манифести и метаподаци инсталираног пакета.

Праћење процеса или мреже: Bumblebee није EDR.

Bumblebee је сада доступан као пројекат отвореног кода за Go за крајње тачке за програмере на macOS и Linux системима. Тимови за безбједност могу да га преузму, покрену у односу на сопствени каталог лоших верзија и унесу резултате у било који ток рада одговора који већ користе.