Perplexity Bumblebee: tool che scopre attacchi supply chain

Gli attacchi supply chain sono sempre più frequenti, come dimostra l’accesso ai repository interni di GitHub attraverso la versione modificata di un estensione VS Code. Perplexity ha quindi deciso di offrire gratuitamente a tutti gli sviluppatori il tool Bumblebee usato per proteggere i sistemi interni.

Scanner di pacchetti per macOS e Linux

Come molte aziende, anche Perplexity sfrutta i progetti open source durante lo sviluppo dei suoi prodotti. I cybercriminali creano spesso account su note piattaforme di hosting e forniscono il loro “contributo” inserendo codice che permette di accedere ai computer, installare malware o rubare dati.

L’azienda californiana utilizza Bumblebee per effettuare la scansione di pacchetti, estensioni e configurazioni che potrebbero essere stati compromessi durante un attacco supply chain. Il codice sorgente del tool, scritto in linguaggio Go, può essere scaricato da GitHub.

Il processo di verifica usato da Perplexity inizia dopo aver identificato la minaccia mediante report pubblici, ricerca interna o terze parti. Perplexity Computer aggiorna il repository e apre una “pull request” su GitHub. Bumblebee viene quindi eseguito sui computer usando il repository aggiornato come riferimento. I risultati vengono infine esaminati dal team di sicurezza.

Il tool supporto tre livelli di scansione: baseline (scansione delle posizioni standard), project (scansione mirata dei repository) e deep (scansione approfondita). Bumblebee può cercare file compromessi in gestori di pacchetti (npm, pnpm, Yarn, Bun, PyPI, Go, RubyGems, Composer), configurazioni di agenti AI (MCP), estensioni dell’editor (VS Code, Cursor, Windsurf, VSCodium), estensioni del browser (Chrome, Comet, Edge, Brave, Arc e Firefox).

Il tool è in sola lettura. In dettaglio, Bumblebee non esegue mai script di installazione, npm, pnpm, bun o pip e non legge mai i file sorgente dell’applicazione (legge metadati come lockfile, manifest e metadati dei pacchetti installati). Gli sviluppatori possono ora utilizzare il tool gratuito su sistemi macOS e Linux.