Bumblebee kaivaa kehittäjäkoneen ilman riskiskriptejä

Read-only skanneri MCP-aikakaudelle

Perplexity avasi 22. toukokuuta Bumblebee-nimisen skannerin lähdekoodit. Työkalu vastaa yhteen kysymykseen, joka on viime kuukausina noussut tietoturvavastaavien yöunten varastajaksi: kun tuore varoitus mainitsee kompromissoituneen paketin, mitkä organisaation kehittäjäkoneista ovat sen jo asentaneet?

Vastaus ei ole tähän asti ollut helppo. Päätelaitejärjestelmät seuraavat prosesseja ja tiedostonimiä, eivät kehittäjäkoneen sokkeloista paketinhallintaa. Bumblebee paikkaa juuri tämän aukon ja tekee sen tavalla, joka ei laukaise mahdollisesti jo paikallaan olevia haitakkeita.

Lukuoperaatio, ei pakettiajoa

Skanneri on kirjoitettu Go-kielellä ja kääntyy yhdeksi staattiseksi binääriksi. Se ei nojaa yhteenkään ulkopuoliseen riippuvuuteen, mikä on tietoturvatyökalulle harvinaisen ryhdikäs valinta. Tuettuja käyttöjärjestelmiä ovat macOS ja Linux, ja Go 1.25 tai uudempi vaaditaan käännökseen.

Olennaisinta on se, mitä Bumblebee ei tee. Se ei aja npm ls -komentoa, ei kutsu pip-resolveria eikä laukaise yhtään postinstall-skriptiä. Bumblebee lukee ainoastaan lukitustiedostot, manifestit ja konfiguraatiotiedostot. Toimitusketjuhyökkäykset aktivoituvat usein juuri asennusskriptien aikana, joten paketin haistelun ei pidä avata sitä laatikkoa uudestaan.

Inventaario kattaa npm:n (pnpm, Yarn ja Bun mukaan luettuna), PyPI:n, Go-modulit, RubyGemsin ja Composerin. Lisäksi skanneri käy läpi VS Coden, Cursorin, Windsurfin ja VSCodiumin laajennukset, Chromium- ja Firefox-selainten lisäosat sekä JSON-muotoiset MCP-konfiguraatiot. Skannille on kolme profiilia: baseline yleisille hakemistoille, project kehityskansioille ja deep aktiivisen tietoturvapoikkeaman tutkintaan. Tulokset valuvat ulos NDJSON-muodossa, jokainen löydös merkittynä luottamustasolla.

Suomalaisille kehittäjäkoneille kova kysymys

Käytännössä jokainen suomalainen ohjelmistotalo seisoo nyt saman peilin edessä. Ketkä työntekijöistä ovat asentaneet juuri sen MCP-palvelimen, joka viime viikolla osoittautui troijalaiseksi? Tähän asti vastaus on vaatinut joko jokaisen koneen läpikäyntiä käsin tai päätelaitejärjestelmää, joka ei tunnista MCP-konfiguraatioita lainkaan.

WithSecurelle ja F-Secure Defenderille Bumblebee on luonteva lisä asiakaskunnan kehittäjäkoneille. Työkalu on niin kevyt ja niin tiukasti lukuoperaatioihin rajattu, että se sopii ajettavaksi rinnan olemassa olevan päätelaiteturvan kanssa ilman ristiriitoja. WithSecuren konsulttipuoli on jo aiemmin auttanut suomalaisia asiakkaitaan inventoimaan kehittäjäympäristöjä, ja Bumblebee tarjoaa siihen oman skriptin sijasta avoimen lähdekoodin standardityökalun.

Huoltovarmuuden näkökulmasta tilanne on kiusallisempi. Suomalaisten kriittisten toimijoiden – pankkien, sähköyhtiöiden, sairaaloiden – ohjelmistokehittäjien koneet ovat tällä hetkellä toimitusketjun heikoimpia lenkkejä. MCP-palvelin voi tarjota pääsyn tuotannon tietokantoihin, sisäisiin viestintäkanaviin tai pilviresursseihin samalla oikeustasolla kuin kehittäjällä itsellään on. Yksi vaarantunut paketti riittää aukaisemaan tien organisaation sisäverkkoon.

Mitä Bumblebee ei korjaa

Skanneri kertoo, mitä koneella on, ei mitä siitä pitäisi poistaa. Korjausvastuu jää käyttäjälle ja tietoturvatiimille. Toinen tunnistettava rajoitus: Bumblebee ei toimi Windowsilla, ja Windows on yhä monen suomalaisen yrityksen kehityskoneiden valta-alusta. Linux- ja Mac-koneille työkalu on kuitenkin heti hyödynnettävissä.

Yksi piirre kannattaa nostaa esiin vielä. Perplexity rakensi Bumblebeen ensin sisäiseksi vastatoimekseen ja päätti avata sen, koska kaupallisilla päätelaitejärjestelmillä ei ole vielä vastausta MCP-aikakauden kysymyksiin. Päätös pakottaa kilpailijat liikkeelle. Microsoft Defender for Endpointin ja CrowdStrike Falconin pitää ottaa MCP-konfiguraatiot tosissaan, eivätkä ne voi enää sivuuttaa niitä pelkkinä JSON-tiedostoina.