Perplexity otvara kôd za Bumblebee

Danas otvaramo kôd jednog od internih alata koje koristimo za zaštitu razvojnih sistema koji stoje iza kompanija Perplexity, Comet i Computer.

Brzi razvoj veštačke inteligencije doneo je novu složenost bezbednosnom pejzažu, sa ranjivostima koje se otkrivaju svakog dana.

Nedavne pretnje sve više ciljaju softverske pakete, alate za razvoj i lokalna okruženja na koja se moderni inženjerski timovi poput kompanije Perplexity oslanjaju. Zbog toga integritet naših proizvoda mora početi dalje uz lanac snabdevanja od same proizvodnje.

Danas otvaramo kôd (open-source) jednog od internih alata koje koristimo za zaštitu razvojnih sistema koji stoje iza kompanija Perplexity, Comet i Computer.

Predstavljamo Bumblebee

Bumblebee je skener koji radi samo u režimu čitanja (read-only) i koji koristimo za proveru rizičnih paketa, ekstenzija i konfiguracija alata veštačke inteligencije na mašinama programera tokom incidenata u lancu snabdevanja.

Bumblebee je koristan svim bezbednosnim timovima. Kad god se prijava nove ranjivosti objavi, oni moraju odmah da znaju da li je bilo koja od njihovih mašina bila izložena.

Učiniti proizvode kompanije Perplexity bezbednijim za korisnike počinje zaštitom razvojnih sistema sa kojima ih gradimo. Bumblebee je jedna komponenta u našem širem bezbednosnom radnom procesu u kojem Perplexity Computer pomaže u praćenju novih pretnji, ljudi pregledaju ažuriranja kataloga, a Bumblebee proverava da li se izložene komponente pojavljuju na krajnjim tačkama programera.

Danas činimo Bumblebee softverom otvorenog koda, tako da svaki tim može da gradi na istom bezbednosnom sloju.

Od signala pretnje do skeniranja krajnje tačke

Inženjerske organizacije sada mogu da pokreću Bumblebee sa sopstvenim katalogom i procesom pregleda. Evo kako mi interno koristimo Bumblebee:

Signal pretnje se identifikuje kroz javna objavljivanja, feedove obaveštajnih podataka trećih strana ili interno istraživanje.

Perplexity Computer priprema nacrt ažuriranja kataloga. On unosi signal u struktuirani unos (ekosistem, naziv, verziju), a zatim otvara GitHub PR sa linkovima ka izvoru.

On ulazi u ljudsku proveru, nakon čega se PR spaja (merge).

Bumblebee se pokreće na krajnjim tačkama sa ažuriranim katalogom.

Nalazi se dele sa bezbednosnim timom.

Bumblebee podržava tri profila skeniranja, koji mu govore gde i koliko opsežno da vrši pretragu:

Osnovni profil (Baseline profile): Rutinsko skeniranje standardnih lokacija na prenosnim računarima. Timovi ga zakazuju kroz sopstveni MDM ili alat za upravljanje flotom.

Projektni profil (Project profile): Ciljano skeniranje određenih skladišta (repo) ili radnih prostora.

Duboki profil (Deep profile): Pregled radi odgovora na aktivne incidente.

Svaka detekcija je sledljiva, prikazujući koji unos u katalogu je pokrenuo prijavu, kada je dodat i sve dokaze.

Bezbednost počinje na lokalnoj površini programera

SBOM i skeneri ranjivosti obrađuju skladišta (repos) i artefakte izgradnje. Proizvodi za inventar krajnjih tačaka pokrivaju instalirane aplikacije. Bumblebee se pokreće na prenosnom računaru programera. On vam govori da li ta mašina ima instaliran određeni paket, verziju, ekstenziju ili MCP konfiguraciju kada stigne obaveštenje o lancu snabdevanja.

Šta Bumblebee pregleda

Postojeći alati otvorenog koda obično pokrivaju jednu ili dve od ovih površina. Bumblebee pokriva sve četiri:

Upravljači paketima jezika: npm, pnpm, Yarn, Bun, PyPI, Go moduli, RubyGems, Composer

Konfiguracije agenata veštačke inteligencije: MCP

Ekstenzije uređivača: Porodica VS Code (VS Code, Cursor, Windsurf, VSCodium)

Ekstenzije pretraživača: Porodica Chromium (Chrome, Comet, Edge, Brave, Arc) i Firefox

Bezbedno procenite izloženost

Bumblebee radi samo u režimu čitanja. On direktno čita datoteke metapodataka i nikada ne dozvoljava potencijalno ugroženim alatima da se pokrenu, što sprečava da skeniranje postane rizik. Činjenica da Bumblebee radi samo u režimu čitanja pomaže u izbegavanju problema sa izvršavanjem koda tokom instalacije.

npm paketi mogu nositi skripte za naknadnu instalaciju (postinstall) koje se automatski pokreću čim ih npm install dotakne. Tako se proširila većina nedavnih crva u lancu snabdevanja. Skener koji poziva npm radi provere izloženosti već je pokrenuo napad koji je tražio. Bumblebee ovo sprečava izbegavanjem sledećeg:

Izvršavanje koda: nikada ne pokreće instalacione skripte ili sistemske kuke (hooks) životnog ciklusa.

Pozivanje upravljača paketima: nikada ne pokreće npm, pnpm, bun ili pip.

Čitanje izvornih datoteka: nikada ne čita izvorne datoteke aplikacije; čita metapodatke kao što su zaključane datoteke (lockfiles), manifesti i metapodaci instaliranih paketa.

Praćenje procesa ili mreže: Bumblebee nije EDR.

Bumblebee je sada dostupan kao Go projekat otvorenog koda za macOS i Linux krajnje tačke programera. Bezbednosni timovi mogu da ga preuzmu, pokrenu u odnosu na sopstveni katalog loših verzija i proslede rezultate u bilo koji radni proces odgovora koji već koriste.