Sicherheitsscanner: Perplexity veröffentlicht Bumblebee als freie Software

Der KI-Anbieter Perplexity hat mit Bumblebee einen Sicherheitsscanner für Entwickler veröffentlicht, der helfen soll, risikobehaftete Pakete und Erweiterungen aufzuspüren. Weshalb das Unternehmen die Open-Source-Lösung nach der gemeinhin als besonders friedfertig geltenden Hummel benannt hat, bleibt bislang allerdings offen.

Aktuell nicht für Windows erhältlich

Mit Bumblebee will Perplexity Entwicklern ein internes Werkzeug an die Hand geben, um den zunehmenden Bedrohungen durch Angriffe auf die Software-Lieferkette besser begegnen zu können. Bislang wurde das Tool ausschließlich für macOS und Linux entwickelt, ob künftig auch eine Windows-Version geplant ist, bleibt derzeit offen. In lokalen Entwicklerumgebungen soll Bumblebee risikobehaftete Pakete, Browser- und Editor-Erweiterungen sowie Konfigurationen von KI-Werkzeugen aufspüren können, ohne dabei Änderungen am jeweiligen System vorzunehmen.

Fokussierte Problemlösung

Dabei hält Perplexity den Aufgabenbereich von Bumblebee bewusst eng gefasst und konzentriert sich gezielt auf ein einzelnes Problem, statt daraus eine umfangreiche Sicherheits-Suite mit zahlreichen Funktionen zu machen. Entsteht durch kompromittierte Pakete, Erweiterungen oder Entwicklerwerkzeuge ein Sicherheitsrisiko, soll das Tool Teams dabei unterstützen, schnell nachvollziehen zu können, welche und zugleich wie viele Rechner betroffen sein könnten. Statt wie häufig üblich ausschließlich ausgelieferte Software über SBOMs oder das Laufzeitverhalten mittels EDR-Lösungen zu analysieren, greift Bumblebee auf lokale Metadaten aus Lockfiles, Paketmanager-Einträgen, Erweiterungsmanifesten sowie unterstützten MCP-Konfigurationsdateien zurück und wertet diese aus. Anschließend erzeugt das Werkzeug strukturierte NDJSON-Datensätze, die sich sowohl manuell prüfen als auch mit anderen Expositionskatalogen abgleichen lassen.

Nur gucken, nicht anfassen!

Laut einem Blog-Eintrag von Perplexity arbeitet der Scanner dabei ausschließlich schreibgeschützt. Weder Paketmanager wie npm, pip oder Go noch andere Befehle werden aktiv ausgeführt, zudem liest Bumblebee keine Quelldateien aus. Gerade npm-Pakete können sogenannte Postinstall-Skripte enthalten, die automatisch gestartet werden, sobald npm install diese verarbeitet. Nach Angaben von Perplexity sollen sich auf diesem Weg zahlreiche der jüngsten Lieferketten-Würmer verbreitet haben. Ein Scanner, der npm zur Überprüfung einer möglichen Exponierung direkt aufruft, würde den eigentlichen Angriff damit bereits selbst auslösen. Genau solche Risiken sollen mit Bumblebee vermieden werden.

Damit macht Perplexity zugleich deutlich, dass Bumblebee nicht dafür entwickelt wurde, Sicherheitslücken im eigentlichen Quellcode aufzuspüren. Stattdessen steht die schnelle Erkennung von Beständen und potenziellen Schwachstellen auf Entwickler-Endpunkten im Mittelpunkt.

Bereits jetzt unterstützt Bumblebee eine Vielzahl unterschiedlicher Entwicklungsumgebungen:

• Paketmanager für Programmiersprachen: npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer
• KI-Agenten-Konfigurationen: MCP 
• Editor-Erweiterungen: VS Code-Familie (VS Code, Cursor, Windsurf, VSCodium)
• Browser-Erweiterungen: Chromium-Familie (Chrome, Comet, Edge, Brave, Arc) und Firefox

Verschiedene Levels für die Praxis

Für die Ausführung bietet Bumblebee unterschiedliche Profile für Basis-, Projekt- und Tiefen-Scans. Dadurch sollen Entwickler abhängig vom jeweiligen Risiko flexibel reagieren können. Bei regelmäßigen Überprüfungen oder bekannten Meldungen könnten bereits oberflächliche Scans ausreichen, während bei bislang unbekannten Bedrohungen gezielte Analysen bestimmter Repositories oder Workspaces möglich sein sollen. Falls auch das nicht genügt, soll das Deep-Profil einen umfassenden Scan aktiver Sicherheitsvorfälle ermöglichen.

Perplexity sieht die wichtigsten Einsatzgebiete von Bumblebee insbesondere bei Sicherheitsingenieuren, DevSecOps-Teams sowie Unternehmen mit Entwicklern, die zahlreiche lokale Werkzeuge und Paket-Ökosysteme einsetzen. Besonders relevant sei das Werkzeug dort, wo kompromittierte Pakete möglichst schnell lokalisiert und bereinigt werden müssen.

Sicherer Einsatz vom Agenten soll vorangetrieben werden

Darüber hinaus unterstreicht Perplexity mit der Veröffentlichung von Bumblebee seine strategische Ausrichtung auf den sicheren Einsatz von KI-Agenten. Das gilt insbesondere vor dem Hintergrund, dass entsprechende Werkzeuge zunehmend stärker in Entwicklungs- und Geschäftsprozesse integriert werden.