Perplexity Bumblebee'yi Açık Kaynaklı Hale Getiriyor

Yapay zekanın hızla gelişmesi, her gün keşfedilen güvenlik açıklarıyla birlikte güvenlik ortamına yeni bir karmaşıklık getirdi.

Son dönemdeki tehditler giderek Perplexity gibi modern mühendislik ekiplerinin güvendiği yazılım paketlerini, geliştirici araçlarını ve yerel ortamlarları hedef alıyor. Bu nedenle ürünlerimizin bütünlüğü, üretimden çok daha önce, tedarik zincirinin üst aşamalarında başlamalıdır.

Bugün Perplexity, Comet ve Computer'ın arkasındaki geliştirici sistemlerini korumak için kullandığımız dahili araçlardan birini açık kaynaklı hale getiriyoruz.

Bumblebee, tedarik zinciri olayları sırasında geliştirici makinelerini riskli paketler, eklentiler ve yapay zeka aracı yapılandırmaları açısından kontrol etmek için kullandığımız salt okunur bir tarayıcıdır.

Bumblebee tüm güvenlik ekipleri için kullanışlıdır. Yeni bir güvenlik açığı bildirildiğinde, makinelerinin herhangi birinin maruz kalıp kalmadığını hemen bilmeleri gerekir.

Perplexity ürünlerini kullanıcılar için daha güvenli hale getirmek, onları oluşturduğumuz geliştirici sistemlerini korumakla başlar. Bumblebee, Perplexity Computer'ın yeni ortaya çıkan tehditleri izlemeye yardımcı olduğu, insanların katalog güncellemelerini incelediği ve Bumblebee'nin maruz kalan bileşenlerin geliştirici uç noktalarında görünüp görünmediğini kontrol ettiği daha geniş güvenlik iş akışımızın bir bileşenidir.

Bugün Bumblebee'yi açık kaynaklı hale getiriyoruz, böylece herhangi bir ekip aynı güvenlik katmanı üzerine inşa yapabilir.

Mühendislik kuruluşları artık Bumblebee'yi kendi katalogları ve inceleme süreçleriyle çalıştırabilir. İşte Bumblebee'yi dahili olarak nasıl kullandığımız:

Bir tehdit sinyali kamuya açık açıklamalar, üçüncü taraf istihbarat akışları veya dahili araştırma yoluyla belirlenir.

Perplexity Computer bir katalog güncellemesi taslağı hazırlar. Sinyali yapılandırılmış bir girdiye (ekosistem, ad, sürüm) ekler ve ardından kaynak bağlantıları içeren bir GitHub PR'ı açar.

İnsan incelemesine girer ve ardından PR birleştirilir.

Bumblebee, güncellenmiş katalog ile uç noktalarda çalışır.

Bulgular güvenlik ekibiyle paylaşılır.

Bumblebee, nereye ve ne kadar kapsamlı arama yapılacağını belirten üç tarama profilini destekler:

Temel profil: Standart dizüstü bilgisayar konumlarının rutin taraması. Ekipler bunu kendi MDM veya filo araçları aracılığıyla zamanlar.

Proje profili: Belirli depoların veya çalışma alanlarının hedeflenen taraması.

Derin profil: Aktif olaylar için yanıt taraması.

Her tespit izlenebilirdir; dosyalamayı hangi katalog girdisinin tetiklediğini, ne zaman eklendiğini ve her türlü kanıtı gösterir.

SBOM ve güvenlik açığı tarayıcıları depoları ve yapı yapıtlarını yönetir. Uç nokta envanter ürünleri yüklü uygulamaları kapsar. Bumblebee geliştirici dizüstü bilgisayarında çalışır. Bir tedarik zinciri bildirimi geldiğinde bu makinede belirli bir paketin, sürümün, eklentinin veya MCP yapılandırmasının yüklü olup olmadığını size söyler.

Mevcut açık kaynaklı araçlar genellikle bu yüzeylerden birini veya ikisini kapsar. Bumblebee dördünü de kapsar:

Dil paket yöneticileri: npm, pnpm, Yarn, Bun, PyPI, Go modülleri, RubyGems, Composer

Yapay zeka aracı yapılandırmaları: MCP

Düzenleyici eklentileri: VS Code ailesi (VS Code, Cursor, Windsurf, VSCodium)

Tarayıcı eklentileri: Chromium ailesi (Chrome, Comet, Edge, Brave, Arc) ve Firefox

Bumblebee salt okunurdur. Meta veri dosyalarını doğrudan okur ve potansiyel olarak ele geçirilmiş araçların çalışmasına asla izin vermez; bu da taramanın risk haline gelmesini önler. Bumblebee'yi salt okunur yapmak, yükleme zamanı kod yürütme sorunlarından kaçınmaya yardımcı olur.

npm paketleri, npm install onlara dokunduğu anda otomatik olarak çalışan yükleme sonrası betikler taşıyabilir. Son dönemdeki tedarik zinciri solucanlarının çoğu bu şekilde yayılmıştır. Maruziyeti kontrol etmek için npm'yi çağıran bir tarayıcı, aradığı saldırıyı zaten tetiklemiştir. Bumblebee şunlardan kaçınarak bunu önler:

Kod yürütme: asla yükleme betiklerini veya yaşam döngüsü kancalarını çalıştırmaz.

Paket yöneticisi çağırma: asla npm, pnpm, bun veya pip çalıştırmaz.

Kaynak dosya okuma: asla uygulama kaynak dosyalarını okumaz; kilit dosyaları, manifestolar ve yüklü paket meta verileri gibi meta verileri okur.

İşlem veya ağ izleme: Bumblebee bir EDR değildir.

Bumblebee artık macOS ve Linux geliştirici uç noktaları için açık kaynaklı bir Go projesi olarak kullanılabilir. Güvenlik ekipleri bunu indirebilir, kendi kötü sürüm kataloglarına karşı çalıştırabilir ve sonuçları halihazırda kullandıkları herhangi bir yanıt iş akışına besleyebilir.

Bumblebee ile Tanışın

Tehdit sinyalinden uç nokta taramasına

Güvenlik yerel geliştirici yüzeyinde başlar

Bumblebee'nin inceledikleri

Maruziyeti güvenli bir şekilde değerlendirin