Perplexity opent broncode van Bumblebee

Vandaag openen we de broncode van een van de interne tools die we gebruiken om de ontwikkelaarssystemen achter Perplexity, Comet en Computer te beschermen.

De snelle opkomst van AI heeft voor nieuwe complexiteit in het beveiligingslandschap gezorgd, waarbij er elke dag kwetsbaarheden worden ontdekt.

Recente dreigingen richten zich in toenemende mate op de softwarepakketten, ontwikkelaarstools en lokale omgevingen waar moderne engineeringteams zoals Perplexity op vertrouwen. De integriteit van onze producten moet daarom verderop in de toeleveringsketen beginnen dan bij de productie.

Vandaag openen we de broncode van een van de interne tools die we gebruiken om de ontwikkelaarssystemen achter Perplexity, Comet en Computer te beschermen.

Introductie van Bumblebee

Bumblebee is een alleen-lezen scanner die we gebruiken om machines van ontwikkelaars te controleren op riskante pakketten, extensies en AI-toolconfiguraties tijdens incidenten in de toeleveringsketen.

Bumblebee is nuttig voor alle securityteams. Telkens wanneer er een nieuwe kwetsbaarheid wordt gemeld, moeten zij onmiddellijk weten of een van hun machines is blootgesteld.

Het veiliger maken van Perplexity-producten voor gebruikers begint bij de bescherming van de ontwikkelaarssystemen waarmee we ze bouwen. Bumblebee is één onderdeel van onze bredere security-workflow waarbij Perplexity Computer helpt bij het volgen van opkomende dreigingen, mensen catalogusupdates beoordelen en Bumblebee controleert of blootgestelde componenten voorkomen op eindpunten van ontwikkelaars.

Vandaag openen we de broncode van Bumblebee, zodat elk team op dezelfde beveiligingslaag kan voortbouwen.

Van dreigingssignaal tot eindpuntscan

Engineering-organisaties kunnen Bumblebee nu uitvoeren met hun eigen catalogi en beoordelingsproces. Hier is hoe we Bumblebee intern gebruiken:

Een dreigingssignaal wordt geïdentificeerd via openbare bekendmakingen, intelligence-feeds van derden of intern onderzoek.

Perplexity Computer stelt een catalogusupdate op. Het voert het signaal in als een gestructureerd item (ecosysteem, naam, versie) en opent vervolgens een GitHub PR met bronlinks.

Het gaat naar een menselijke beoordeling, waarna de PR wordt samengevoegd.

Bumblebee draait op eindpunten met de bijgewerkte catalogus.

Bevindingen worden gedeeld met het securityteam.

Bumblebee ondersteunt drie scanprofielen, die aangeven waar en hoe uitgebreid er gezocht moet worden:

Baseline-profiel: Routinescan van standaard laptoplocaties. Teams plannen dit in via hun eigen MDM- of fleet-tooling.

Project-profiel: Gerichte scan van specifieke repositories of werkruimtes.

Deep-profiel: Respons-scan voor actieve incidenten.

Elke detectie is traceerbaar en laat zien welk catalogusitem de melding heeft getriggerd, wanneer dit werd toegevoegd en welk bewijs er is.

Beveiliging begint op het lokale werkoppervlak van de ontwikkelaar

SBOM- en kwetsbaarheidsscanners verwerken repositories en build-artefacten. Producten voor eindpuntinventarisatie dekken geïnstalleerde applicaties. Bumblebee draait op de laptop van de ontwikkelaar. Het vertelt u of die machine een specifiek pakket, versie, extensie of MCP-configuratie heeft geïnstalleerd wanneer er een advies voor de toeleveringsketen verschijnt.

Wat Bumblebee beoordeelt

Bestaande open-sourcetools dekken meestal een of twee van deze oppervlakken. Bumblebee dekt alle vier:

Taalpakketbeheerders: npm, pnpm, Yarn, Bun, PyPI, Go-modules, RubyGems, Composer

AI-agentconfiguraties: MCP

Editor-extensies: VS Code-familie (VS Code, Cursor, Windsurf, VSCodium)

Browser-extensies: Chromium-familie (Chrome, Comet, Edge, Brave, Arc) en Firefox

Evalueer blootstelling op veilige wijze

Bumblebee is alleen-lezen. Het leest metadatabestanden rechtstreeks en laat nooit potentieel gecompromitteerde tools draaien, wat voorkomt dat de scan zelf het risico wordt. Bumblebee alleen-lezen maken helpt bij het vermijden van problemen met code-uitvoering tijdens de installatie.

npm-pakketten kunnen postinstall-scripts bevatten die automatisch worden uitgevoerd zodra npm install ze aanraakt. Dat is hoe de meeste recente worms in de toeleveringsketen zich hebben verspreid. Een scanner die npm aanroept om op blootstelling te controleren, heeft al de aanval getriggerd waar hij naar zocht. Bumblebee voorkomt dit door het volgende te vermijden:

Code-uitvoering: voert nooit installatiescripts of lifecycle-hooks uit.

Aanroep van pakketbeheerder: voert nooit npm, pnpm, bun of pip uit.

Lezen van bronbestanden: leest nooit bronbestanden van applicaties; het leest metadata zoals lockfiles, manifests en metadata van geïnstalleerde pakketten.

Proces- of netwerkmonitoring: Bumblebee is geen EDR.

Bumblebee is nu beschikbaar als een open-source Go-project voor macOS- en Linux-eindpunten van ontwikkelaars. Securityteams kunnen het downloaden, uitvoeren tegen hun eigen catalogus van onveilige versies en de resultaten invoeren in de response-workflow die zij reeds gebruiken.