Perplexity开源Bumblebee：开发者端点安全扫描工具，2700+星

AI搜索引擎公司Perplexity近日在GitHub上开源了Bumblebee，一个专注于开发者环境安全的端点扫描工具。项目上线几天就获得超过2700个Star，反映出开发者社区对供应链安全的高度关注。

Bumblebee是什么？

Bumblebee是一个只读的开发者端点扫描器（read-only developer endpoint scanner），用于检测本地开发环境中是否存在已知的供应链安全风险。它主要扫描以下内容：

包管理依赖：检查项目中使用的npm、pip、cargo等包管理器的依赖项，识别已知存在安全漏洞的包版本。

浏览器扩展：扫描开发者浏览器中安装的扩展程序，检测可能泄露数据或存在安全风险的扩展。

开发工具元数据：检查本地安装的开发工具（IDE、CLI工具等）的配置和版本信息，发现潜在的安全隐患。

为什么Perplexity要做安全工具？

Perplexity是一家以AI搜索引擎闻名的公司，推出安全工具看似跨界，但实际上有合理的逻辑：

1. 供应链攻击日益频繁：近年来，针对开发者的供应链攻击呈爆发趋势。恶意npm包、PyPI投毒、GitHub Action漏洞等事件频发。2025年多个知名开源项目遭受供应链攻击，影响数百万用户。

2. 开发者环境是薄弱环节：与生产环境相比，开发者的本地环境通常安全防护较弱。攻击者通过感染开发者的工具链，可以在代码编译阶段就植入后门。

3. 技术能力延伸：Perplexity在构建AI搜索引擎的过程中，积累了大量的代码分析和数据扫描能力。将这些能力应用于安全领域是自然的技术延伸。

技术特点

Bumblebee用Go语言编写，有几个值得关注的技术特点：

只读扫描：Bumblebee只读取和分析本地文件，不会修改任何内容。这意味着使用它不会对开发环境造成任何影响，也不会触发误操作。

本地运行：所有扫描都在本地完成，不会将任何数据上传到外部服务器。这对于处理敏感代码的企业开发者来说非常重要。

多语言支持：支持扫描多种编程语言和包管理器的依赖，包括npm/yarn（JavaScript）、pip/poetry（Python）、cargo（Rust）、go modules（Go）等。

使用场景

Bumblebee适合以下场景：

企业开发团队：定期扫描开发环境，确保团队成员的工具链没有被污染。可以集成到CI/CD流水线中作为安全检查步骤。

开源维护者：在发布新版本前扫描依赖项，避免将已知漏洞传递给下游用户。

安全审计：在接手新项目时，快速了解项目的依赖安全状况。

同类工具对比

Bumblebee并非唯一的供应链安全工具，但它有一些差异化优势：

– Snyk：功能更全面但需要注册账号和云服务，Bumblebee完全本地运行

– npm audit / pip audit：只检查特定包管理器，Bumblebee支持多种工具统一扫描

– Socket.dev：侧重于npm生态的实时监控，Bumblebee是离线扫描工具

GitHub仓库：https://github.com/perplexityai/bumblebee

快速上手

Bumblebee的安装非常简单：

# 通过Go安装
go install github.com/perplexityai/bumblebee@latest

# 或者直接下载二进制文件
# https://github.com/perplexityai/bumblebee/releases

# 运行扫描
bumblebee scan

扫描完成后，Bumblebee会输出一份安全报告，列出发现的风险项和建议的修复方案。

总结

Bumblebee的出现填补了开发者本地环境安全扫描的空白。随着供应链攻击的日益频繁，这类工具的价值将越来越凸显。Perplexity选择开源而非商业化，也有助于推动整个开发者生态的安全意识提升。