Perplexity Bumblebee: lo scanner open-source che protegge i computer degli sviluppatori dagli attacchi alla supply chain

Bumblebee è uno scanner leggero creato da Perplexity e rilasciato come open source per aiutare i team di sicurezza a rilevare software rischioso sugli endpoint degli sviluppatori. Viene eseguito direttamente su macchine macOS e Linux e inventaria ciò che è già installato sul sistema, inclusi pacchetti, estensioni e configurazioni di strumenti AI che potrebbero essere coinvolti in un incidente della supply chain.

Invece di analizzare repository di codice o ambienti di produzione, Bumblebee si concentra sulla postazione di lavoro dello sviluppatore, spesso trascurata dagli strumenti di sicurezza tradizionali. Ispezionando i componenti che gli sviluppatori eseguono realmente in locale, i team possono rispondere rapidamente a domande come: "un pacchetto o un'estensione compromessa è presente su qualche macchina?"

Perché la modalità di sola lettura è fondamentale

Una delle caratteristiche distintive di Bumblebee è che non esegue mai gestori di pacchetti o script di installazione. Legge invece i metadati già presenti sulla macchina, come i file di blocco delle dipendenze o i record dei pacchetti installati.

Questo design offre un vantaggio critico per la sicurezza durante la risposta agli incidenti. Molti pacchetti malevoli nascondono comportamenti pericolosi in hook di installazione o script post-installazione. Se uno strumento di sicurezza attivasse quei processi durante un'indagine, potrebbe accidentalmente attivare il malware che sta cercando di rilevare.

Bumblebee evita questo rischio:

• Leggendo i metadati direttamente dal disco invece di invocare strumenti come npm o pip
• Evitando l'esecuzione di script di installazione o ciclo di vita
• Trattando il sistema esclusivamente come una fonte di inventario

Il risultato è un modello di ispezione passivo e sicuro che rivela l'esposizione senza modificare l'ambiente analizzato.

Cosa scansiona Bumblebee

Bumblebee raccoglie un inventario dei componenti delle macchine degli sviluppatori che appaiono frequentemente negli attacchi alla supply chain. Questi includono:

Ecosistemi di pacchetti per linguaggi

Lo scanner legge i metadati dei pacchetti dai principali ecosistemi, tra cui:

• npm, pnpm, Yarn e Bun
• PyPI
• Moduli Go
• RubyGems
• Composer

Analizzando i lockfile e i metadati dei pacchetti, Bumblebee può determinare quali pacchetti e versioni sono presenti su una macchina senza eseguire il gestore di pacchetti stesso.

Estensioni degli editor

Gli strumenti di sviluppo e gli editor di codice spesso eseguono estensioni che accedono al codice sorgente, ai token o alle credenziali degli sviluppatori. Bumblebee inventaria queste estensioni dell'editor e i loro manifest per identificare plugin rischiosi o compromessi.

Estensioni del browser

I ricercatori di sicurezza considerano sempre più le estensioni del browser come parte della supply chain dello sviluppatore. Bumblebee può inventariare le estensioni del browser presenti su un sistema per identificare quelle collegate ad avvisi o attività malevole.

Configurazioni di AI Agent e MCP

Una superficie d'attacco più recente proviene dagli strumenti di sviluppo AI. Bumblebee scansiona i file di configurazione per gli agenti AI che utilizzano il Model Context Protocol (MCP) e strumenti correlati. Gli esempi includono file come mcp.json e altri formati di configurazione per strumenti AI.

Queste configurazioni possono fare riferimento a strumenti o servizi esterni che potrebbero introdurre rischi per la supply chain se compromessi.

Profili di scansione per diversi flussi di lavoro di sicurezza

Bumblebee supporta più profili di scansione in modo che le organizzazioni possano personalizzare le scansioni per il monitoraggio di routine o per scenari di risposta agli incidenti.

Baseline

Una scansione di inventario leggera delle posizioni standard delle macchine degli sviluppatori. I team possono eseguirla periodicamente utilizzando sistemi di gestione dei dispositivi o di gestione della flotta.

Project

Una scansione mirata concentrata sulle directory di sviluppo o su repository specifici. Questo aiuta i team a ispezionare i pacchetti utilizzati nei progetti attivi.

Deep

Una modalità di indagine più ampia, tipicamente utilizzata durante un incidente di sicurezza attivo. Cerca in posizioni più estese del filesystem per trovare tutte le possibili esposizioni.

Questi profili consentono ai team di passare dalla visibilità di routine a operazioni complete di risposta agli incidenti senza cambiare strumento.

Rilevamento basato su catalogo

I rilevamenti di Bumblebee si basano su cataloghi di esposizione—elenchi di pacchetti, versioni, estensioni o configurazioni notoriamente rischiosi. Quando lo scanner inventaria una macchina, confronta i componenti scoperti con questo catalogo per trovare corrispondenze.

Ogni rilevamento è tracciabile e mostra:

• La voce del catalogo che ha attivato il rilevamento
• Quando la voce del catalogo è stata aggiunta
• La prova del componente corrispondente

Questo approccio aiuta i team di sicurezza a rispondere rapidamente a una domanda critica durante la risposta agli incidenti: Quali macchine degli sviluppatori sono esposte a questa vulnerabilità o pacchetto malevolo in questo momento?

Perché strumenti come Bumblebee sono importanti

Gli attacchi alla supply chain che prendono di mira gli ecosistemi open-source sono cresciuti in modo drammatico. La ricerca sulla sicurezza ha identificato oltre 1,23 milioni di pacchetti open-source malevoli, con più di 454.000 scoperti solo nel 2025. Altri rapporti hanno rilevato un aumento del 73% dei pacchetti malevoli rilevati nel 2025 rispetto all'anno precedente.

Allo stesso tempo, le macchine degli sviluppatori ora eseguono molti più componenti di quanto gli strumenti di sicurezza tradizionali tengano traccia: gestori di pacchetti, estensioni dell'editor, plugin del browser e integrazioni di agenti AI. Molte organizzazioni hanno una visibilità limitata di questo ambiente locale.

Bumblebee colma questa lacuna fornendo una scansione di inventario rapida e sicura degli endpoint degli sviluppatori. Piuttosto che sostituire la sicurezza runtime o la scansione dei repository, aggiunge un livello di visibilità mancante che aiuta i team a rilevare rapidamente l'esposizione durante gli incidenti della supply chain.

In conclusione

Bumblebee di Perplexity offre un approccio pratico a un difficile problema di sicurezza: identificare componenti rischiosi sulle macchine degli sviluppatori senza innescare comportamenti malevoli.

Combinando un modello di scansione in sola lettura, la copertura degli strumenti di sviluppo moderni (pacchetti, estensioni e configurazioni AI) e flussi di lavoro di rilevamento basati su catalogo, offre ai team di sicurezza un modo per valutare rapidamente l'esposizione della supply chain sugli endpoint degli sviluppatori quando si verificano incidenti.

Con la continua crescita degli ecosistemi software—e con gli attaccanti che prendono sempre più di mira gli strumenti degli sviluppatori—gli strumenti che inventariano in sicurezza l'ambiente di sviluppo stanno diventando una parte essenziale della sicurezza applicativa moderna.