فتحت Perplexity ماسح Bumblebee لحماية أنظمة التطوير

نشرت Perplexity الكود المصدري لأداتها الداخلية للأمان Bumblebee. إنها ماسحة ضوئية للقراءة فقط لأنظمة التطوير تساعد على تحديد الثغرات الأمنية في سلسلة التبعيات دون تشغيل أي كود أو استدعاء مديري الحزم.

ما هو

Bumblebee Bumblebee هي أداة لجمع المخزون لأنظمة تشغيل macOS و Linux. طورتها Perplexity خصيصاً لحماية أنظمة التطوير الخاصة بها، حيث تعمل أداة البحث AI Comet والوكيل Computer. تعمل الأداة وفقاً لمبدأ القراءة فقط: تحلل التبعيات والامتدادات المثبتة بالفعل، لكنها لا تشغل أبداً الكود الخاص بها.

هذا أمر حاسم للأمان. تحدث العديد من الهجمات على أنظمة التطوير أثناء تثبيت الحزمة أو تهيئة الامتداد. يمكن للكود الخبيث أن يختبئ في النصوص البرمجية التي تعمل تلقائياً عند استيراد وحدة لأول مرة أو عند تحميل امتداد.

بفضل نهج القراءة فقط، يقلل Bumblebee تماماً من خطر تنشيط برنامج ضار مختبئ على جهاز المطور. يعتبر نهج القراءة فقط مهماً بشكل خاص لأنه يسمح بمسح الحزم الخطرة بشكل محتمل دون خوف. إذا واجهت الأداة بالصدفة كوداً خبيثاً، فلن تشغله — ستخبر المطور ببساطة أنها اكتشفت حزمة مريبة.

ما هي التبعيات التي يمسحها

Bumblebee تم تطوير Bumblebee كماسحة ضوئية عامة — يمكنها تحليل التبعيات من أنظمة بيئية مختلفة وأدوات التطوير. إليك النطاق الكامل لما تدعمه: حزم npm لنظام بيئة Node.js حزم PyPI لـ Python و Pip وحدات Go والتبعيات تكوينات MCP (بروتوكول سياق النموذج) امتدادات المتصفح (Chrome و Firefox وغيرها) ملحقات محررات الأكواد (VS Code و Sublime وغيرها) يُستخدم كل من هذه المتجهات باستمرار في هجمات سلسلة التوريد. لهذا السبب قررت Perplexity فتح الكود المصدري للأداة — تعتقد الشركة أن المطورين والمؤسسات الأخرى يجب أن يتمكنوا من الوصول إلى أدوات الأمان.

لماذا أمان سلسلة التوريد حاسم أصبحت هجمات سلسلة التوريد واحدة من أخطر

الهجمات وأكثرها دهاءً في 2024–2025. بدلاً من مهاجمة المنتج النهائي، يستهدف مجرمو الإنترنت غالباً الأدوات والمكتبات التي تعتمد عليها آلاف الشركات والمطورين. حدثت أمثلة محددة بالفعل. قبل بضع سنوات، تم حقن نسخة خبيثة في حزمة npm شهيرة كانت تجمع البيانات بصمت من أجهزة المطورين. أو حالة معروفة جيداً أخرى — مكتبة معالجة الصور تحتوي على كود مخفي كان يؤدي لتشغيل مُعدِّن التشفير على جهاز المطور عند استيراد الوحدة.

"أنظمة التطوير هي مفاتيح المملكة لأي شركة. إذا اخترقت جهاز المطور، يمكنك الوصول إلى الكود المصدري والبيانات الاعتماديّة وأرموز API والأسرار والمزيد،" — هذه وجهة نظر شائعة في مجتمع

InfoSec. هنا بالضبط يساعد Bumblebee. تم تصميم الأداة خصيصاً للكشف عن هذه المخاطر مبكراً، قبل وقت طويل من وصول تبعية خبيثة إلى خادم الإنتاج وتسبب أضراراً حقيقية.

ماذا يعني هذا تعكس أداة

Perplexity مفتوحة المصدر فهماً متزايداً في الصناعة: أمان أنظمة التطوير ليس خياراً، بل ضرورة حيوية. تسمح الأداة لأي مطور أو شركة بالتحقق بانتظام من التبعيات المثبتة في نظامهم وتحديد الإصدارات التي قد تكون خطرة أو قديمة. بالنسبة للمطورين المستقلين، هذه فرصة للعثور على الثغرات الأمنية في مشاريعهم الخاصة قبل أن تصل إلى خادم عام. بالنسبة للشركات الكبيرة، إنها أداة لتدقيق شامل لبنية DevOps والتحقق من الامتثال لسياسات الأمان. بالنسبة لفرق الأمان و DevOps — إنها أحد اللبنات الأساسية في الدفاع ضد هجمات سلسلة التوريد. في الواقع، شاركت Perplexity جزءاً من أمانها الداخلي مع مجتمع المطورين — وهذه علامة جيدة للصناعة بأكملها.