Perplexity AIは、2026年5月22日にBumblebeeを公開しました。これは、開発者のローカルエンドポイントを対象としたソフトウェアサプライチェーンおよびAIツール環境の脆弱性を検出するためのオープンソースセキュリティ監査ツールです。熟練した警備員が、家屋の内部を破壊や強制的な侵入なしに、目視で注意深く点検するように、このツールはローカル開発マシンにインストールされたさまざまな言語別のパッケージマネージャーファイル、エディター拡張機能、そして最近急増しているMCP（Model Context Protocol）サーバー設定のセキュリティリスクを、読み取り専用（Read-Only）スキャン方式で安全に検出します。Go言語をベースに実装されており、単一の実行ファイルだけで動作し、外部ライブラリへの依存なしにローカルオペレーティングシステム（macOSおよびLinux）のファイルメタデータを静的に解析して、潜在的な脅威を可視化します。 従来のソフトウェア構成分析（SCA）やSBOM（ソフトウェア部品表）ツールは、主にデプロイ可能なプロダクションアーティファクトやクラウドリポジトリの依存関係のチェックに焦点を当てており、開発者が毎日使用する個人の開発機器のセキュリティ脅威に迅速に対応することには限界がありました。特に最近流行している高度なサプライチェーン攻撃は、パッケージが実際にインストールされる過程で動作するpreinstallスクリプトやAIアシスタントの過剰なファイルシステム書き込み権限を悪用して、ローカルに保存されたAPIキー、環境変数などの重要な資産を盗み出す脅威をもたらします。Bumblebeeは、このような問題に対応するために、危険なパッケージを直接インストールして実行したり、外部と通信したりすることなく、ディスクに存在するlockfileやJSON構成ドキュメントのみを安全に分析し、攻撃コードがローカルシステム内部で実行される経路を事前に根本的に遮断します。 バイオインフォマティクスおよびAI創薬分野の研究者やエンジニアは、大規模な計算パイプラインの実行のために、多数のオープンソース依存モジュールとAIコーディングアシスタントを複合的に使用するため、常にサプライチェーンの脅威にさらされています。研究プロジェクトが保存されているディレクトリパスをパラメータとして指定してスキャンを実行すると、プロジェクト内で実行されているPyPIやnpmの依存関係構造と、MCPサーバー構成情報に含まれる認証管理の状態を迅速にインベントリ化して分析します。これにより、研究データの漏洩リスクや外部からの悪意のあるコードの侵入を定量的に検査し、NDJSON形式の標準化された脅威レポートを1〜2秒以内に出力して、研究インフラの信頼性を強固に維持することができます。

ソフトウェアサプライチェーンのセキュリティ脆弱性を検出するAIセキュリティスキャナー

🔬バイオパイプラインの依存関係スキャン: bumblebee scan --profile project --dir /home/user/rna-seqを実行することで、プロジェクトフォルダー内の150個以上のPython（PyPI）依存パッケージのロックファイルの整合性を0.5秒以内に静的にチェックし、悪意のあるpreinstallスクリプトが含まれているかどうかを検出し、根本的なサプライチェーンの脅威を防止します。