Bumblebee：只读扫描开发机的供应链暴露面
介绍 Bumblebee 通过读取元数据盘点开发机依赖、扩展和 AI 配置的设计，区分依赖声明、实际安装、执行行为与 NDJSON 数据风险。
直接回答：Bumblebee 是 Perplexity AI 开源的开发机供应链盘点工具（Go 单二进制）。它直接读取磁盘上的元数据文件（lock 文件、扩展清单、配置文件）来清点 npm/pip/Go 包、VS Code/JetBrains 扩展、浏览器扩展与 AI 工具/MCP 服务器配置——全程不执行包管理器和项目代码，因此不会触发被投毒包里的恶意安装脚本。输出 NDJSON，直接喂给安全工具或日志平台。
开发机是被忽视的 attack surface
传统安全扫描盯仓库、容器镜像、生产环境。开发者本机的攻击面这套流水线覆盖不到。
一台典型开发机跑着多个包管理器（npm、pip、Go modules、Bun）、浏览器扩展、编辑器插件、AI 编码助手、本地 MCP 服务器——每一个都是潜在供应链入口。恶意包曝光时，问题不只是"进没进生产"，还有哪位开发者的机器上已经装了它。
扫描范围
- Go / npm / pip 等生态的包（读 lock 文件）
- 编辑器扩展（VS Code、JetBrains）
- 浏览器扩展
- AI 工具与 MCP 服务器配置
安全团队拿到新的威胁情报（某恶意包的公开通告）后，建一份暴露目录，可筛出需进一步确认的设备，覆盖取决于扫描范围和时间。
为什么"只读"是关键设计
安装依赖时的生命周期脚本可能执行代码，但标准 npm ls 并不执行安装生命周期脚本。不能用这个例子制造错误风险描述。
直接解析元数据可减少对包管理器和项目代码执行的依赖，但解析器、权限和扫描范围仍要审查。只读不等于完全无风险，更不代表应以管理员权限读取所有用户目录。
与其他安全工具的关系
它不替代 SCA（依赖漏洞扫描）或 EDR——而是补上"开发机实时暴露面盘点"这块空白：漏洞库告诉你包有没有问题，Bumblebee 提供扫描时可见的依赖与配置线索；lockfile 声明不等于当前实际安装或执行。
上传 NDJSON 前检查路径、用户名、配置和可能的秘密信息，按授权范围脱敏。盘点结果需带时间与来源，不能据此单独判定机器已被入侵。
常见问题（FAQ）
Q：扫描结果怎么用？
A：NDJSON 是逐行 JSON，直接 ingestion 进 SIEM、日志平台或自建查询库，配合威胁情报做关联查询。
Q：能发现已激活的恶意包吗？
A：它做"装了什么"的盘点，不做行为检测。发现"装了恶意包"后，清除与取证仍需配合 EDR 与应急响应流程。
Q：为什么 AI 工具配置也在扫描范围？
A：MCP 服务器和 AI 助手配置会声明可执行命令与外部端点——这是需要纳入盘点的一类开发机入口，恶意 MCP 服务器即新形态的恶意包。
参考资料
资料核对日期：2026 年 9 月 29 日。本文基于公开文档整理，代码片段和评估方案未作独立运行或性能验证；厂商测试结果已注明来源。
