Perplexity lanserar Bumblebee med öppen källkod

Idag släpper vi ett av våra interna verktyg som vi använder för att skydda utvecklarsystemen bakom Perplexity, Comet och Computer med öppen källkod.

Den snabba utvecklingen av AI har fört med sig ny komplexitet till säkerhetslandskapet, med sårbarheter som upptäcks varje dag.

Senaste hot riktar in sig alltmer mot de programvarupaket, utvecklarverktyg och lokala miljöer som moderna teknikteam som Perplexity förlitar sig på. Så integriteten hos våra produkter måste börja längre upp i leveranskedjan än produktionen.

Idag släpper vi ett av våra interna verktyg som vi använder för att skydda utvecklarsystemen bakom Perplexity, Comet och Computer med öppen källkod.

Vi presenterar Bumblebee

Bumblebee är en skrivskyddad skanner som vi använder för att kontrollera utvecklardatorer efter riskabla paket, tillägg och AI-verktygskonfigurationer under incidenter i leveranskedjan.

Bumblebee är användbart för alla säkerhetsteam. När en ny sårbarhet rapporteras måste de omedelbart veta om någon av deras datorer har exponerats.

Att göra Perplexity-produkter säkrare för användarna börjar med att skydda de utvecklarsystem vi bygger dem med. Bumblebee är en komponent i vårt bredare säkerhetsarbetsflöde där Perplexity Computer hjälper till att spåra nya hot, människor granskar kataloguppdateringar och Bumblebee kontrollerar om exponerade komponenter förekommer på utvecklares slutpunkter.

Idag släpper vi Bumblebee med öppen källkod, så att alla team kan bygga vidare på samma säkerhetslager.

Från hotsignal till slutpunktsskanning

Teknikorganisationer kan nu köra Bumblebee med sina egna kataloger och granskningsprocesser. Så här använder vi Bumblebee internt:

En hotsignal identifieras genom offentliga avslöjanden, extern underrättelseinformation eller intern forskning.

Perplexity Computer skapar ett utkast till en kataloguppdatering. Den matar in signalen i en strukturerad post (ekosystem, namn, version) och öppnar sedan en GitHub PR med källänkar.

Den går till mänsklig granskning, varefter PR-förfrågan sammanfogas.

Bumblebee körs på slutpunkter med den uppdaterade katalogen.

Resultaten delas med säkerhetsteamet.

Bumblebee stöder tre skanningsprofiler som talar om var och hur brett den ska söka:

Baslinjeprofil: Rutinskanning av vanliga platser på bärbara datorer. Teams schemalägger den genom sin egen MDM- eller flotta-verktyg.

Projektprofil: Riktad skanning av specifika repos eller arbetsytor.

Djup profil: Svarsgenomsökning för aktiva incidenter.

Varje detektering är spårbar och visar vilken katalogpost som utlöste anmälan, när den lades till och eventuella bevis.

Säkerheten börjar på den lokala utvecklarytan

SBOM- och sårbarhetsskannrar hanterar lagringsplatser och byggartefakter. Slutpunktsinventeringsprodukter täcker installerade applikationer. Bumblebee körs på utvecklarens bärbara dator. Den talar om för dig om den maskinen har ett specifikt paket, en specifik version, ett tillägg eller en MCP-konfiguration installerad när en rådgivning om leveranskedjan landar.

Vad Bumblebee granskar

Befintliga verktyg med öppen källkod tenderar att täcka en eller två av dessa ytor. Bumblebee täcker alla fyra:

Språkpakethanterare: npm, pnpm, Yarn, Bun, PyPI, Go-moduler, RubyGems, Composer

Konfigurationer för AI-agenter: MCP

Redigerartillägg: VS Code-familjen (VS Code, Cursor, Windsurf, VSCodium)

Webbläsartillägg: Chromium-familjen (Chrome, Comet, Edge, Brave, Arc) och Firefox

Utvärdera exponering på ett säkert sätt

Bumblebee är skrivskyddad. Den läser metadatafiler direkt och låter aldrig potentiellt komprometterade verktyg köras, vilket förhindrar att skanningen blir en risk. Att göra Bumblebee skrivskyddad hjälper till att undvika problem med kodkörning vid installationstillfället.

npm-paket kan innehålla skript för efterinstallation som körs automatiskt i samma ögonblick som npm install rör vid dem. Det är så de flesta nya maskar i leveranskedjan har spridits. En skanner som anropar npm för att söka efter exponering har redan utlöst den attack den letade efter. Bumblebee förhindrar detta genom att undvika:

Kodkörning: kör aldrig installationsskript eller livscykelhookar.

Anrop av pakethanterare: kör aldrig npm, pnpm, bun eller pip.

Läsning av källfiler: läser aldrig applikationens källfiler; den läser metadata som låsfiler, manifest och installerad paketmetadata.

Process- eller nätverksövervakning: Bumblebee är inte ett EDR.

Bumblebee finns tillgänglig nu som ett Go-projekt med öppen källkod för macOS- och Linux-utvecklarslutpunkter. Säkerhetsteam kan ladda ner det, köra det mot sin egen katalog med dåliga versioner och mata in resultaten i vilket svarsarbetsflöde de än använder.