Perplexityが開発者保護ツール公開

攻撃者は、本番システムだけでなく、開発者のマシン上のパッケージ、エディター拡張機能、AIツール設定を標的にすることが増えています。Perplexityは、この問題に対処するために使用している社内ツールをオープンソース化しました。PerplexityはGitHubでBumblebeeをリリースしました。このツールは、macOSおよびLinuxの開発者エンドポイント向けの読み取り専用インベントリコレクターです。完全にGoで書かれており、標準ライブラリ以外の依存関係は一切ありません。Perplexityはすでに社内でこれを活用し、検索製品、Comet browser、およびComputer agentの背後にある開発者システムを保護しています。 問題点：Bumblebeeが解決するもの あなたがソフトウェアエンジニアまたはデータサイエンティストであれば、ローカルに数十のパッケージをインストールしている可能性が高いでしょう。マシンにはエディター拡張機能、ブラウザアドオン、そしておそらくMCP (Model Context Protocol) の設定があるはずです。新しい脆弱性が表面化したとき、セキュリティチームは緊急の質問に直面します。現在、どの開発者マシンが危険にさらされているのか？既存のツールでは、これに完全に答えることはできません。SBOMs (Software Bills of Materials) や脆弱性スキャナーは、ビルド成果物やリポジトリをカバーします。EDR (Endpoint Detection and Response) 製品は、どのプロセスが実行されたか、またはネットワークにアクセスしたかを追跡します。どちらも、ラップトップのファイルシステムに散らばるlockfiles、パッケージメタデータ、拡張機能マニフェスト、AIツール設定といったローカルの開発者状態をチェックしません。Bumblebeeはそのギャップを埋めます。アドバイザリがパッケージ、拡張機能、またはバージョンを特定した場合、現在、どのマシンがそのディスク上のメタデータと一致するかを答えます。エコシステムの範囲も意図的でした。カバーされているエコシステムは、npm、PyPI、RubyGems、Go modules、Composerパッケージを対象としたMini Shai-Huludシリーズを含む、最近活発なサプライチェーン攻撃キャンペーンに対応しており、TanStack、SAP、Zapierなどの企業に影響を与えました。 Bumblebeeの仕組み Bumblebeeはワンショットスキャナーです。各呼び出しは単一のスキャンを実行し、終了します。実行頻度はオペレーターの責任であり、cron、launchd、systemd、またはMDM fleet toolingによって管理されます。構造化されたレコードをNDJSON (newline-delimited JSON) として出力します。