Un outil de sécurité open source
Perplexity AI a publié sur la plateforme GitHub un nouvel outil nommé Bumblebee, présenté comme un collecteur d’inventaire en lecture seule pour les métadonnées des paquets, extensions et outils de développement. L’objectif affiché est de permettre aux équipes de sécurité et aux développeurs d’évaluer leur exposition à des compromissions connues de la chaîne d’approvisionnement logicielle.
Fonctionnement et finalité
Bumblebee se décrit comme un « scanner de points d’accès des développeurs en lecture seule » pour les métadonnées résidant sur le disque. Il analyse les paquets logiciels, les extensions d’environnement de développement et les outils de développement installés localement, et compile un inventaire des composants. Cet inventaire peut ensuite être comparé à des bases de données de vulnérabilités connues pour identifier les risques potentiels liés à des attaques sur la chaîne d’approvisionnement.
L’outil est conçu pour ne pas modifier les systèmes scannés : aucune écriture n’est effectuée sur les machines cibles, ce qui réduit les risques d’altération accidentelle ou malveillante. Bumblebee se concentre sur les métadonnées disponibles localement, sans avoir besoin de contacter des dépôts distants.
Disponibilité et adoption
Le code source de Bumblebee est accessible publiquement sur GitHub sous le compte de Perplexity AI. Le dépôt a déjà attiré plusieurs centaines de forks (284 forks au moment de la publication), signe d’un intérêt immédiat de la communauté des développeurs et des professionnels de la sécurité. L’outil est publié sans licence explicite dans la description du dépôt, mais la page GitHub indique qu’il s’agit d’un projet public.
Contexte et enjeux
La publication de Bumblebee s’inscrit dans un contexte de multiplication des attaques ciblant la chaîne d’approvisionnement logicielle. Ces attaques, qui visent à introduire du code malveillant dans des logiciels légitimes par le biais de dépendances compromises, ont touché de nombreuses organisations ces dernières années. Des outils comme Bumblebee permettent aux entreprises de dresser un état des lieux précis des composants qu’elles utilisent, une première étape essentielle pour appliquer des correctifs ou retirer des composants vulnérables.
L’initiative de Perplexity AI, une entreprise spécialisée dans l’intelligence artificielle et les moteurs de recherche conversationnels, marque une incursion dans le domaine de la cybersécurité open source, un secteur où la collaboration et la transparence sont particulièrement valorisées.
