پرپلکسیتی، اسکنر امنیتی Bumblebee را متن‌باز کرد.

محیط کاری برنامه‌نویسان و سیستم‌های محلی آن‌ها همواره یکی از اهداف جذاب برای هکرها بوده است. شرکت هوش مصنوعی پرپلکسیتی (Perplexity) برای حل این چالش، ابزار داخلی خود یعنی اسکنر امنیتی Bumblebee را به صورت یک پروژه متن‌باز (Open-Source) در گیت‌هاب منتشر کرد. این ابزار به تیم‌های امنیتی کمک می‌کند تا بسته‌های مخرب و افزونه‌های آسیب‌پذیر را روی سیستم توسعه‌دهندگان شناسایی کنند.

در این مقاله، نگاهی به ویژگی‌های این ابزار جدید و نحوه عملکرد آن خواهیم داشت.

اسکنر امنیتی Bumblebee چیست؟

ابزار Bumblebee یک اسکنر امنیتی «فقط خواندنی» (Read-Only) برای سیستم‌های مک (macOS) و لینوکس است. پرپلکسیتی این ابزار را به طور کامل با زبان برنامه‌نویسی Go توسعه داده و هیچ وابستگی خارجی به کتابخانه‌های دیگر ندارد.

جالب است بدانید که پرپلکسیتی پیش از این، از اسکنر امنیتی Bumblebee برای حفاظت از زیرساخت‌های حساس خود مانند مرورگر Comet و ابزار جا‌به‌جایی خودکار کامپیوتر (Computer Agent) استفاده می‌کرده است. حالا با متن‌باز شدن آن تحت لایسنس Apache 2.0، همه توسعه‌دهندگان می‌توانند از آن بهره‌مند شوند.

چرا اسکنر امنیتی Bumblebee متمایز است؟

بسیاری از حملات سایبری جدید از طریق اسکریپت‌های مخرب هنگام نصب بسته‌ها (مانند دستور npm install) رخ می‌دهند. ویژگی‌های کلیدی این ابزار عبارتند از:

• امنیت در اسکن (عدم اجرای کد): این ابزار بر خلاف اسکنرهای معمولی، هیچ اسکریپتی را اجرا نمی‌کند و مستقیماً به سراغ فایل‌های مانیفست و متادیتا می‌رود؛ بنابراین خودِ فرآیند اسکن باعث فعال شدن بدافزارها نخواهد شد.
• پوشش چهار بخش حیاتی: این ابزار در یک بار اجرا، چهار بخش مهم سیستم برنامه‌نویس را اسکن می‌کند:
  1. مدیریت بسته‌های زبان‌های برنامه‌نویسی: مانند npm، PyPI، Go modules، RubyGems و PHP Composer.
  2. تنظیمات ابزارهای هوش مصنوعی: بررسی فایل‌های پیکربندی افزونه‌هایی مانند Claude Desktop و Cline.
  3. افزونه‌های محیط کدنویسی: اسکن اکستنشن‌های VS Code، Cursor، Windsurf و VSCodium.
  4. افزونه‌های مرورگر: بررسی افزونه‌های مخرب در کروم، اج، فایرفاکس، بریو و آرک.

نحوه عملکرد و پروفایل‌های اسکن

اسکنر امنیتی Bumblebee یک ابزار یک‌بار اجرا (One-Shot) است؛ یعنی با هر بار فراخوانی یک اسکن انجام داده و خارج می‌شود. تیم‌های امنیتی می‌توانند آن را از طریق کرون‌جاب (Cron Jobs) یا ابزارهای مدیریت سیستم به صورت دوره‌ای اجرا کنند.

این ابزار دارای سه پروفایل اسکن مختلف است:

1. پروفایل Baseline (پایه): برای ارزیابی و بررسی‌های روتین سیستم.
2. پروفایل Project (پروژه): تمرکز بر روی پوشه‌ها و پروژه‌های کاری خاص.
3. پروفایل Deep (عمیق): برای زمان‌هایی که یک حمله یا حادثه امنیتی رخ داده و نیاز به بررسی موشکافانه است.

خروجی این نرم‌افزار به صورت ساختاریافته (NDJSON) ارائه می‌شود که تحلیل آن را برای تیم‌های SecOps بسیار آسان می‌کند.

کلام آخر

اقدام پرپلکسیتی در متن‌باز کردن اسکنر امنیتی Bumblebee گام بزرگی برای افزایش امنیت در جامعه متن‌باز و زنجیره تامین نرم‌افزار (Supply-Chain) است. اگر شما هم یک توسعه‌دهنده هستید یا مدیریت یک تیم نرم‌افزاری را بر عهده دارید، استفاده از این ابزار سبک و کارآمد که با زبان Go نوشته شده، می‌تواند سطح امنیت سیستم‌های شما را به شدت ارتقا دهد. برای شروع می‌توانید نسخه v0.1.1 این ابزار را از مخزن رسمی پرپلکسیتی در گیت‌هاب دریافت کنید.

نظر شما درباره این ابزار امنیتی چیست؟ آیا مایل به استفاده از آن در پروژه‌های خود هستید؟ نظرات خود را با ما به اشتراک بگذارید.