Perplexity 开源 Bumblebee：扫描开发机供应链与 AI 配置风险

产品是什么

Bumblebee 是 Perplexity 开源的只读扫描工具，专注于 macOS 和 Linux 开发机环境的安全审计。与传统 Software Composition Analysis (SCA) 工具面向 CI/CD 流水线不同，Bumblebee 直接扫描开发者本地机器，检查三类高风险目标：

• 依赖风险：npm/pip/gem 等包管理器的已知漏洞依赖
• 扩展暴露面：VS Code、Cursor 等编辑器的第三方扩展权限
• AI 工具配置：本地 LLM 配置、API 密钥存储、模型下载来源

最关键的差异化特性是 Comet 浏览器联动：当用户浏览存在风险的网站时，Comet 可触发本地 Bumblebee 深度扫描，实现「浏览即检测」。

解决什么问题

企业安全团队普遍关注代码仓库和 CI/CD 管道的安全，但对开发者个人工作站的盲区长期忽视。研究显示，70% 以上的供应链攻击通过开发者机器作为跳板——攻击者利用 IDE 扩展漏洞、恶意 npm 包或配置不当的 AI 工具（如