Perplexity משחררת בקוד פתוח כלי אבטחת AI לסריקת מחשבי מפתחים
חברת Perplexity פתחה לציבור את Bumblebee, כלי פנימי לסריקה בטוחה של מחשבי מפתחים מול איומי שרשרת אספקה, חבילות תוכנה מסוכנות, הרחבות דפדפן ועורכים, והגדרות כלי AI. המהלך מדגיש את המעבר של חברות AI מהגנה על מוצרי קצה בלבד להגנה עמוקה יותר על סביבת הפיתוח עצמה.
החברה משחררת בקוד פתוח את Bumblebee, כלי אבטחה פנימי שנועד לסרוק מחשבי מפתחים ולזהות חשיפה אפשרית לחבילות תוכנה מסוכנות, הרחבות בעייתיות והגדרות של כלי AI. ההכרזה מגיעה בתקופה שבה מתקפות שרשרת אספקה נגד צוותי פיתוח, מאגרי קוד, מנהלי חבילות וכלי פיתוח הפכו לאחד האיומים המרכזיים על חברות טכנולוגיה ובינה מלאכותית.
אבטחת AI מתחילה במחשב של המפתח
רוצה להישאר מעודכן ב-AI?
הירשם לדיוור השבועי שלנו וקבל עדכונים, המלצות על כלים, חדשות ודוחות מיוחדים
Perplexity מסבירה כי ההגנה על מוצרים כמו Perplexity, Comet ו-Computer אינה מתחילה רק בסביבת הייצור, אלא כבר בשלב מוקדם יותר, במחשבים המקומיים של המפתחים. בעולם שבו צוותי הנדסה משתמשים מדי יום בחבילות npm, ספריות Python, הרחבות לעורכי קוד, דפדפנים מבוססי Chromium וכלי AI שמתחברים לסביבות העבודה, נקודת הכניסה של התוקף עלולה להיות הרבה לפני שהקוד מגיע לשרת.
Bumblebee נועד לתת לצוותי אבטחת מידע דרך מהירה לבדוק אם תחנות קצה של מפתחים נחשפו לרכיב מסוים לאחר פרסום חולשה, התראה מודיעינית או גילוי פנימי. במקום להסתמך רק על סורקי חולשות במאגרי קוד או על כלי SBOM שמנתחים תוצרי בנייה, הכלי בוחן את סביבת העבודה המקומית עצמה, המקום שבו חבילות מותקנות, פרויקטים נפתחים והרחבות פועלות.
סריקה לקריאת מידע בלבד
אחד הדגשים הטכניים החשובים של Bumblebee הוא שהוא פועל במצב קריאה בלבד. הכלי קורא קובצי מטא דאטה כמו lockfiles, manifests ומידע על חבילות מותקנות, אך אינו מריץ מנהלי חבילות כמו npm, pnpm, bun או pip. ההחלטה הזו משמעותית במיוחד מכיוון שחבילות זדוניות רבות מנצלות סקריפטים כמו postinstall כדי להריץ קוד מיד עם התקנה או בדיקה לא זהירה.
במילים אחרות, Perplexity מנסה למנוע מצב שבו סורק האבטחה עצמו מפעיל את המתקפה שאותה נועד לזהות. זו גישה שמתחברת למגמה רחבה יותר בתעשיית הסייבר: מעבר מכלים שמבצעים אינטרקציה פעילה עם הסביבה לכלים שמצמצמים הרשאות, נמנעים מהרצת קוד לא מהימן ומייצרים ראיות ברורות לצוותי תגובה לאירועים.
מה Bumblebee יודע לבדוק
לפי החברה, Bumblebee מכסה ארבעה אזורי סיכון מרכזיים. הוא מסוגל לבדוק מנהלי חבילות נפוצים כמו npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems ו-Composer, וכן הגדרות של סוכני AI דרך MCP, פרוטוקול Model Context Protocol שהפך בשנה האחרונה לרכיב משמעותי בחיבור מודלים לכלים חיצוניים. בנוסף הוא בוחן הרחבות לעורכי קוד ממשפחת VS Code, כולל Cursor ו-Windsurf, והרחבות דפדפן בדפדפנים מבוססי Chromium וב-Firefox.
הכלי תומך בכמה פרופילי סריקה, מסריקה שגרתית של מיקומים סטנדרטיים במחשב מפתח ועד סריקה עמוקה בעת אירוע פעיל. כל ממצא ניתן לשיוך לקטלוג סיכונים מוגדר, כולל מקור העדכון והראיות שהובילו לזיהוי. כך צוותי אבטחה יכולים לשלב אותו בתהליכי MDM, ניהול צי מחשבים או תגובה לאירועי שרשרת אספקה.
מסר לתעשיית הקוד הפתוח וה-AI
פתיחת Bumblebee כפרויקט Go עבור macOS ו-Linux מסמנת כי Perplexity רואה באבטחת סביבת הפיתוח חלק בלתי נפרד מאמון המשתמשים במוצרי AI. עבור ארגונים שמפתחים מערכות מבוססות בינה מלאכותית, במיוחד כאלה שמשלבות סוכנים, הרחבות וכלי פיתוח מודרניים, מדובר בתזכורת חשובה: שרשרת האספקה אינה מסתיימת במאגר הקוד. היא מתחילה במחשב שעליו הקוד נכתב.