A Perplexity está disponibilizando o Bumblebee como código aberto
Hoje estamos disponibilizando como código aberto uma das ferramentas internas que usamos para proteger os sistemas de desenvolvedores por trás da Perplexity, do Comet e do Computer.
O rápido avanço da IA trouxe nova complexidade ao cenário de segurança, com vulnerabilidades descobertas todos os dias.
Ameaças recentes visam cada vez mais os pacotes de software, as ferramentas de desenvolvimento e os ambientes locais dos quais as equipes de engenharia modernas, como a Perplexity, dependem. Portanto, a integridade dos nossos produtos precisa começar bem antes da produção, na cadeia de suprimentos.
Hoje estamos disponibilizando como código aberto uma das ferramentas internas que usamos para proteger os sistemas de desenvolvedores por trás da Perplexity, do Comet e do Computer.
Apresentando o Bumblebee
O Bumblebee é um scanner somente leitura que usamos para verificar se há pacotes, extensões e configurações de ferramentas de IA de risco nas máquinas dos desenvolvedores durante incidentes na cadeia de suprimentos.
O Bumblebee é útil para todas as equipes de segurança. Sempre que uma nova vulnerabilidade é relatada, elas precisam saber imediatamente se alguma de suas máquinas foi exposta.
Tornar os produtos da Perplexity mais seguros para os usuários começa com a proteção dos sistemas de desenvolvedores com os quais os construímos. O Bumblebee é um componente do nosso fluxo de trabalho de segurança mais amplo, no qual o Perplexity Computer ajuda a rastrear ameaças emergentes, humanos revisam atualizações de catálogo e o Bumblebee verifica se componentes expostos aparecem nos endpoints dos desenvolvedores.
Hoje estamos disponibilizando o Bumblebee como código aberto, para que qualquer equipe possa se basear na mesma camada de segurança.
Do sinal de ameaça à verificação de endpoint
As organizações de engenharia agora podem executar o Bumblebee com seus próprios catálogos e processos de revisão. Veja como usamos o Bumblebee internamente:
Um sinal de ameaça é identificado por meio de divulgações públicas, feeds de inteligência de terceiros ou pesquisas internas.
A entrada passa por revisão humana, após a qual o PR é mesclado.
O Bumblebee é executado em endpoints com o catálogo atualizado.
As descobertas são compartilhadas com a equipe de segurança.
O Bumblebee oferece suporte a três perfis de verificação, que indicam onde e quão ampla deve ser a busca:
Perfil de linha de base: Verificação rotineira de locais padrão em laptops. As equipes programam isso por meio de suas próprias ferramentas de MDM ou de gerenciamento de frota.
Perfil de projeto: Verificação direcionada de repositórios ou espaços de trabalho específicos.
Perfil profundo: Varredura de resposta para incidentes ativos.
Cada detecção é rastreável, mostrando qual entrada do catálogo acionou o registro, quando foi adicionada e qualquer evidência.
A segurança começa na superfície do desenvolvedor local
Scanners de SBOM e de vulnerabilidades lidam com repositórios e artefatos de build. Produtos de inventário de endpoints cobrem aplicativos instalados. O Bumblebee é executado no laptop do desenvolvedor. Ele informa se essa máquina possui um pacote, versão, extensão ou configuração de MCP específicos instalados quando um aviso de cadeia de suprimentos é emitido.
O que o Bumblebee analisa
As ferramentas de código aberto existentes tendem a cobrir uma ou duas dessas superfícies. O Bumblebee cobre todas as quatro:
Gerenciadores de pacotes de linguagem: npm, pnpm, Yarn, Bun, PyPI, módulos Go, RubyGems, Composer
Configurações de agentes de IA: MCP
Extensões de editor: família VS Code (VS Code, Cursor, Windsurf, VSCodium)
Extensões de navegador: família Chromium (Chrome, Comet, Edge, Brave, Arc) e Firefox
Avalie a exposição com segurança
O Bumblebee é somente leitura. Ele lê arquivos de metadados diretamente e nunca permite a execução de ferramentas potencialmente comprometidas, o que evita que a verificação se torne o risco. Tornar o Bumblebee somente leitura ajuda a evitar problemas com a execução de código no momento da instalação.
Pacotes npm podem carregar scripts de pós-instalação que são executados automaticamente no momento em que o npm install entra em contato com eles. É assim que a maioria dos worms recentes da cadeia de suprimentos se espalhou. Um scanner que invoca o npm para verificar a exposição já acionou o ataque que estava procurando. O Bumblebee evita isso ao evitar:
Execução de código: nunca executa scripts de instalação ou ganchos de ciclo de vida.
Invocação de gerenciador de pacotes: nunca executa npm, pnpm, bun ou pip.
Leitura de arquivos de código-fonte: nunca lê arquivos de código-fonte do aplicativo; ele lê metadados como arquivos de bloqueio, manifestos e metadados de pacotes instalados.
Monitoramento de processos ou rede: O Bumblebee não é um EDR.
O Bumblebee já está disponível como um projeto Go de código aberto para endpoints de desenvolvedores macOS e Linux. As equipes de segurança podem baixá-lo, executá-lo em relação ao seu próprio catálogo de versões defeituosas e alimentar os resultados em qualquer fluxo de trabalho de resposta que já utilizem.