Perplexity нээлттэй эхийн "Bumblebee" төслийг танилцууллаа: MCP сервер ба өргөтгөлүүдийг шалгах шинэ үеийн аюулгүй байдлын сканнер

Хиймэл оюуны агентууд болон Model Context Protocol (MCP) стандартын хэрэглээ хөгжүүлэгчдийн өдөр тутмын амьдралд хүчтэй түрэн орж ирлээ. Бид Claude Code, Cursor болон бие даасан AI агентуудад мэдээллийн сан унших, Slack-тай харьцах, системийн файл засах эрх олгохын тулд Discord, GitHub-аас олон нийтийн бэлтгэсэн MCP серверүүдийг хялбархан суулгаж ашиглах болсон билээ.

Гэвч эдгээр нэмэлт хэрэгслүүд нь хөгжүүлэгчийн төхөөрөмж дээр "арын хаалга" (backdoor) болон мэдээлэл алдагдах шинэ цоорхой үүсгэх хамгийн өндөр эрсдэлтэй суваг болж хувираад байна. Үүнийг шийдвэрлэхээр Perplexity AI компаниас програм хангамжийн нийлүүлэлтийн сүлжээ (software supply chain)-г бүхэлд нь шалгах зориулалттай Bumblebee нээлттэй эхийн төслөө танилцууллаа.

Асуудал: AI хэрэгслүүдийн үүсгэсэн хамгаалалтын "сохор бүс"

Уламжлалт төслийн хамаарлуудыг (npm, PyPI, Go modules г.м.) бид Dependabot, Snyk, OSV зэрэг SCA хэрэгслүүдээр шалгаад хэвшчихсэн. Гэтэл хөгжүүлэгчийн локал төхөөрөмж дээр ажиллаж буй:

MCP Серверүүд: ~/.claude.json эсвэл бусад агентын тохиргоонд шууд зааж өгсөн, дотоод сүлжээ болон диск рүү шууд хандах эрхтэй скриптүүд,
IDE Өргөтгөлүүд: VS Code, JetBrains дээр суулгасан төрөл бүрийн AI плагинууд,
Хөтчийн өргөтгөлүүд (Browser Extensions)

зэрэг нь уламжлалт сканеруудад бараг харагддаггүй байв. Хөгжүүлэгч нэг л найдваргүй MCP серверийг агентадаа холбоход тухайн сервер бүх төслийн эх код болон .env файл дахь API түлхүүрүүдийг гадагш урсгах бүрэн боломжтой юм.

Bumblebee-ийн архитектур: Яагаад өөр вэ?

Perplexity-ийн инженерийн баг Bumblebee-г бүтээхдээ аюулгүй байдлын сканнер өөрөө хамгаалалтын эрсдэл үүсгэхгүй байх зарчмыг хатуу баримталжээ.

Zero Dependencies (Тэг хамаарал): Сканнер нь Go 1.25 дээр бичигдсэн бөгөөд зөвхөн Go Standard Library ашигласан. Гадны ямар ч third-party багц ашиглаагүй тул сканнер өөрөө хортой кодтой байх эрсдэлгүй.
Read-Only зарчим: Bumblebee нь файл унших горимоор л ажиллана. Төхөөрөмж дээр ямар нэг багц менежер ажиллуулахгүй, сүлжээгээр сэжигтэй хүсэлт илгээхгүй бөгөөд агентын орчныг өөрчлөхгүй.
Нэгдсэн инвентаризаци: Нэг л тушаалаар бүх экосистемийг нэгэн зэрэг шалгадаг. Үүнд npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer, Homebrew-ээс гадна MCP серверийн бүртгэл болон VS Code/хөтчийн өргөтгөлүүд багтана.

                ┌───────────────────────────────────┐
                │        Bumblebee Scanner          │
                │     (Read-Only, Go Stdlib)        │
                └─────────────────┬─────────────────┘
                                  │
         ┌────────────────────────┼────────────────────────┐
         ▼                        ▼                        ▼
┌──────────────────┐    ┌──────────────────┐    ┌──────────────────┐
│   Package Deps   │    │   MCP Servers    │    │  IDE Extensions  │
│ (npm, pip, go..) │    │ (~/.claude.json) │    │(VS Code, Chrome) │
└──────────────────┘    └──────────────────┘    └──────────────────┘

Хөгжүүлэгч хэрхэн ашиглах вэ?

Bumblebee-г ашиглах нь маш энгийн бөгөөд хурдан. Go суулгасан дурын орчинд дараах коммандаар шууд суулгаж болно:

# Bumblebee суулгах
go install github.com/perplexityai/bumblebee/cmd/bumblebee@latest

# Суулгацыг шалгах
bumblebee selftest

Төхөөрөмж дээрх өртөлтийг (exposure) нээлттэй Threat Intelligence баазын тусламжтайгаар бүрэн скандах жишээ:

bumblebee scan --profile baseline \
  --exposure-catalog <(curl -s https://raw.githubusercontent.com/perplexityai/bumblebee/main/threat_intel/*.json)

Мөн өөрийн ажиллаж буй төслийн хавтас болон холбогдсон MCP тохиргоонуудыг орон нутагтаа түргэн шалгах боломжтой:

bumblebee scan --profile project --root ~/code

Bumblebee нь тухайн систем дээр ямар нэг аюултай хувилбар бүхий npm package, шалгагдаагүй эх сурвалжтай MCP server, эсвэл эрх нь хэтэрсэн өргөтгөл байгаа эсэхийг хэдхэн секундийн дотор илрүүлж тайлагнана.

CI/CD болон Энтерпрайз орчинд

Зөвхөн хөгжүүлэгчийн хувийн комьпютер дээр төдийгүй байгууллагын CI/CD pipeline болон MDM (Mobile Device Management) флиитэд Bumblebee-г нэвтрүүлэхэд зориулагдсан.

Аюулгүй байдлын багууд өөрсдийн internal threat catalog JSON файлуудыг бэлтгэж, инженерүүдийн төхөөрөмж дээр шинэ гарсан zero-day сул тал эсвэл халдлагад өртсөн MCP серверүүд суусан эсэхийг төвлөрсөн байдлаар маш хурдан тодорхойлох боломжтой.

Дүгнэлт

AI хөгжүүлэлтийн агент болон MCP серверүүд бидний ажлын бүтээмжийг хэд дахин нэмэгдүүлж байгаа ч, суулгаж буй нэмэлт багаж бүртээ хяналт тавихгүй бол хамгийн эмзэг аюулгүй байдлын цоорхой болж хувирдаг.

Perplexity-ийн нээлттэй эхээр гаргасан Bumblebee нь ямар ч илүү дутуу ачаалалгүй, цэвэр read-only зарчмаар MCP болон хөгжүүлэгчийн орчныг хамгаалах маш чухал шийдэл болж байна. Хэрэв та өдөр тутмын ажлынхаа урсгалд Claude Code, Cursor, OpenClaw зэрэг агентуудыг өргөн ашигладаг бол Bumblebee-г туршаад үзэхийг зөвлөж байна.

Эх сурвалж:

Perplexity AI Bumblebee Repository: GitHub - perplexityai/bumblebee
Firecrawl AI Developer Trends: Best Trending GitHub Repositories for AI Developers (2026)
ExplainX Security Report: Bumblebee: Open-Source Supply Chain Security Scanner for Developer Endpoints