Perplexity rend Bumblebee open source

L'avancée rapide de l'IA a complexifié le paysage de la sécurité, avec des vulnérabilités découvertes chaque jour.

Les menaces récentes visent de plus en plus les progiciels, les outils de développement et les environnements locaux sur lesquels s'appuient les équipes d'ingénierie modernes comme Perplexity. L'intégrité de nos produits doit donc commencer plus en amont de la chaîne d'approvisionnement, avant même la production.

Aujourd'hui, nous rendons open source l'un des outils internes que nous utilisons pour protéger les systèmes de développement derrière Perplexity, Comet et Computer.

Bumblebee est un scanner en lecture seule que nous utilisons pour vérifier la présence de paquets, d'extensions et de configurations d'outils d'IA risqués sur les machines des développeurs lors d'incidents liés à la chaîne d'approvisionnement.

Bumblebee est utile à toutes les équipes de sécurité. Lorsqu'une nouvelle vulnérabilité est signalée, elles doivent savoir immédiatement si l'une de leurs machines a été exposée.

Sécuriser davantage les produits Perplexity pour les utilisateurs commence par la protection des systèmes de développement avec lesquels nous les concevons. Bumblebee est un composant de notre flux de travail de sécurité plus large, où Perplexity Computer aide à suivre les menaces émergentes, où des humains examinent les mises à jour de catalogue et où Bumblebee vérifie si des composants exposés apparaissent sur les terminaux des développeurs.

Aujourd'hui, nous rendons Bumblebee open source, afin que toute équipe puisse s'appuyer sur la même couche de sécurité.

Les organisations d'ingénierie peuvent désormais exécuter Bumblebee avec leurs propres catalogues et processus d'examen. Voici comment nous utilisons Bumblebee en interne :

Un signal de menace est identifié via des divulgations publiques, des flux d'informations tiers ou des recherches internes.

Perplexity Computer rédige une mise à jour du catalogue. Il saisit le signal dans une entrée structurée (écosystème, nom, version), puis ouvre une pull request GitHub avec les liens sources.

Il fait l'objet d'un examen humain, après quoi la pull request est fusionnée.

Bumblebee s'exécute sur les terminaux avec le catalogue mis à jour.

Les résultats sont partagés avec l'équipe de sécurité.

Bumblebee prend en charge trois profils d'analyse, qui déterminent où et avec quelle étendue effectuer la recherche :

Profil de base : Analyse de routine des emplacements standard sur les ordinateurs portables. Les Teams le planifient via leur propre MDM ou outil de gestion de parc.

Profil de projet : Analyse ciblée de dépôts ou d'espaces de travail spécifiques.

Profil approfondi : Balayage de réponse pour les incidents actifs.

Chaque détection est traçable, indiquant quelle entrée de catalogue a déclenché l'alerte, quand elle a été ajoutée et toute preuve associée.

Les scanners de SBOM et de vulnérabilités gèrent les dépôts et les artifacts de build. Les produits d'inventaire des terminaux couvrent les applications installées. Bumblebee s'exécute sur l'ordinateur portable du développeur. Il vous indique si cette machine possède un paquet, une version, une extension ou une configuration MCP spécifique installée lorsqu'un avis sur la chaîne d'approvisionnement est publié.

Les outils open source existants ont tendance à couvrir une ou deux de ces surfaces. Bumblebee en couvre quatre :

Gestionnaires de paquets de langages : npm, pnpm, Yarn, Bun, PyPI, modules Go, RubyGems, Composer

Configurations d'agents IA : MCP

Extensions d'éditeur : Famille VS Code (VS Code, Cursor, Windsurf, VSCodium)

Extensions de navigateur : Famille Chromium (Chrome, Comet, Edge, Brave, Arc) et Firefox

Bumblebee est en lecture seule. Il lit directement les fichiers de métadonnées et ne laisse jamais s'exécuter des outils potentiellement compromis, ce qui évite que l'analyse ne devienne un risque en soi. Rendre Bumblebee en lecture seule permet d'éviter les problèmes liés à l'exécution de code lors de l'installation.

Les paquets npm peuvent contenir des scripts post-installation qui s'exécutent automatiquement au moment où npm install les sollicite. C'est ainsi que la plupart des récents vers de la chaîne d'approvisionnement se sont propagés. Un scanner qui invoque npm pour vérifier l'exposition a déjà déclenché l'attaque qu'il recherchait. Bumblebee empêche cela en évitant :

L'exécution de code : n'exécute jamais de scripts d'installation ou de hooks de cycle de vie.

L'invocation du gestionnaire de paquets : n'exécute jamais npm, pnpm, bun ou pip.

La lecture de fichiers sources : ne lit jamais les fichiers sources des applications ; il lit des métadonnées telles que les lockfiles, les manifestes et les métadonnées des paquets installés.

La surveillance des processus ou du réseau : Bumblebee n'est pas un EDR.

Bumblebee est désormais disponible en tant que projet Go open source pour les terminaux de développeurs sous macOS et Linux. Les équipes de sécurité peuvent le télécharger, l'exécuter contre leur propre catalogue de versions vulnérables et intégrer les résultats dans le flux de travail de réponse qu'elles utilisent déjà.

Présentation de Bumblebee

Du signal de menace à l'analyse des terminaux

La sécurité commence au niveau de l'interface locale du développeur

Ce que Bumblebee examine

Évaluer l'exposition en toute sécurité