Perplexity đang mã nguồn mở Bumblebee

Sự phát triển nhanh chóng của AI đã mang lại những độ phức tạp mới cho bối cảnh bảo mật, với các lỗ hổng được phát hiện mỗi ngày.

Các mối đe dọa gần đây ngày càng nhắm vào các gói phần mềm, công cụ dành cho nhà phát triển và môi trường cục bộ mà các nhóm kỹ thuật hiện đại như Perplexity dựa vào. Vì vậy, tính toàn vẹn của các sản phẩm của chúng tôi phải bắt đầu từ chuỗi cung ứng trước cả giai đoạn sản xuất.

Hôm nay, chúng tôi đang mã nguồn mở một trong những công cụ nội bộ mà chúng tôi sử dụng để bảo vệ các hệ thống nhà phát triển đằng sau Perplexity, Comet và Computer.

Bumblebee là một trình quét chỉ đọc mà chúng tôi sử dụng để kiểm tra các máy tính của nhà phát triển nhằm tìm kiếm các gói, tiện ích mở rộng và cấu hình công cụ AI rủi ro trong các sự cố chuỗi cung ứng.

Bumblebee hữu ích cho tất cả các nhóm bảo mật. Bất cứ khi nào một lỗ hổng mới được báo cáo, họ cần biết ngay lập tức nếu bất kỳ máy nào của họ bị phơi nhiễm.

Làm cho các sản phẩm của Perplexity trở nên bảo mật hơn đối với người dùng bắt đầu bằng việc bảo vệ các hệ thống nhà phát triển mà chúng tôi dùng để xây dựng chúng. Bumblebee là một thành phần trong quy trình làm việc bảo mật rộng lớn hơn của chúng tôi, trong đó Perplexity Computer giúp theo dõi các mối đe dọa mới nổi, con người xem xét các cập nhật danh mục và Bumblebee kiểm tra xem các thành phần bị phơi nhiễm có xuất hiện trên các điểm cuối của nhà phát triển hay không.

Hôm nay, chúng tôi đang mã nguồn mở Bumblebee, để bất kỳ nhóm nào cũng có thể xây dựng trên cùng một lớp bảo mật.

Các tổ chức kỹ thuật giờ đây có thể chạy Bumblebee với các danh mục và quy trình xem xét của riêng họ. Dưới đây là cách chúng tôi sử dụng Bumblebee nội bộ:

Một tín hiệu đe dọa được xác định thông qua các tiết lộ công khai, nguồn cấp dữ liệu thông tin tình báo của bên thứ ba hoặc nghiên cứu nội bộ.

Perplexity Computer soạn thảo bản cập nhật danh mục. Hệ thống đưa tín hiệu vào một mục nhập có cấu trúc (hệ sinh thái, tên, phiên bản), sau đó mở một PR trên GitHub kèm theo các liên kết nguồn.

Nó bước vào giai đoạn xem xét của con người, sau đó PR được hợp nhất.

Bumblebee chạy trên các điểm cuối với danh mục đã cập nhật.

Các phát hiện được chia sẻ với nhóm bảo mật.

Bumblebee hỗ trợ ba cấu hình quét, cho biết vị trí và phạm vi tìm kiếm rộng đến mức nào:

Cấu hình cơ sở: Quét định kỳ các vị trí máyδ tính xách tay tiêu chuẩn. Các nhóm lên lịch thông qua MDM hoặc công cụ quản lý đội ngũ thiết bị của riêng họ.

Cấu hình dự án: Quét có mục tiêu các kho lưu trữ hoặc không gian làm việc cụ thể.

Cấu hình sâu: Quét phản hồi cho các sự cố đang hoạt động.

Mỗi phát hiện đều có thể truy nguồn, hiển thị mục danh mục nào đã kích hoạt tệp, thời điểm nó được thêm vào và bất kỳ bằng chứng nào.

SBOM và trình quét lỗ hổng xử lý các kho lưu trữ và tạo phẩm bản dựng. Các sản phẩm kiểm kê điểm cuối bao gồm các ứng dụng đã cài đặt. Bumblebee chạy trên máy tính xách tay của nhà phát triển. Nó cho bạn biết liệu máy đó có cài đặt một gói, phiên bản, tiện ích mở rộng hoặc cấu hình MCP cụ thể nào hay không khi một bản tin tư vấn chuỗi cung ứng xuất hiện.

Các công cụ mã nguồn mở hiện có có xu hướng bao phủ một hoặc hai trong số các bề mặt này. Bumblebee bao phủ cả bốn:

Trình quản lý gói ngôn ngữ: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer

Cấu hình tác nhân AI: MCP

Tiện ích mở rộng trình soạn thảo: Dòng VS Code (VS Code, Cursor, Windsurf, VSCodium)

Tiện ích mở rộng trình duyệt: Dòng Chromium (Chrome, Comet, Edge, Brave, Arc) và Firefox

Bumblebee ở chế độ chỉ đọc. Nó đọc trực tiếp các tệp siêu dữ liệu và không bao giờ cho phép các công cụ có khả năng bị xâm phạm chạy, điều này giúp ngăn chặn việc quét trở thành rủi ro. Việc làm cho Bumblebee ở chế độ chỉ đọc giúp tránh các vấn đề với việc thực thi mã trong quá trình cài đặt.

Các gói npm có thể mang các tập lệnh cài đặt sau chạy tự động ngay khoảnh khắc npm install chạm vào chúng. Đó là cách mà hầu hết các sâu chuỗi cung ứng gần đây đã lây lan. Một trình quét gọi npm để kiểm tra mức độ phơi nhiễm đã kích hoạt cuộc tấn công mà nó đang tìm kiếm. Bumblebee ngăn chặn điều này bằng cách tránh:

Thực thi mã: không bao giờ chạy các tập lệnh cài đặt hoặc các hook vòng đời.

Gọi trình quản lý gói: không bao giờ chạy npm, pnpm, bun hoặc pip.

Đọc tệp nguồn: không bao giờ đọc các tệp nguồn ứng dụng; nó đọc siêu dữ liệu chẳng hạn như tệp khóa, tệp kê khai và siêu dữ liệu gói đã cài đặt.

Giám sát tiến trình hoặc mạng: Bumblebee không phải là EDR.

Bumblebee hiện có sẵn dưới dạng một dự án Go mã nguồn mở cho các điểm cuối của nhà phát triển macOS và Linux. Các nhóm bảo mật có thể tải xuống, chạy nó dựa trên danh mục các phiên bản độc hại của riêng họ và đưa kết quả vào bất kỳ quy trình làm việc phản hồi nào mà họ đang sử dụng.

Giới thiệu về Bumblebee

Từ tín hiệu đe dọa đến quét điểm cuối

Bảo mật bắt đầu từ bề mặt nhà phát triển cục bộ

Những gì Bumblebee xem xét

Đánh giá mức độ phơi nhiễm một cách an toàn