Bumblebee – Perplexitys Open-Source-Scanner für deine Entwicklungsumgebung

Letzte Woche ist mir auf GitHub wieder mal ein neues Repository von

Die Idee: Wenn eine neue Supply-Chain-Schwachstelle gemeldet wird, willst du sofort wissen, ob dein eigener Rechner betroffen ist. Klingt simpel, ist es aber nicht. Denn die meisten Scanner lösen genau das Problem aus, das sie eigentlich finden sollen.

Warum das Thema gerade jetzt relevant ist

Wir leben in einer Zeit, in der täglich neue Schwachstellen gemeldet werden. Mal ist es ein kompromittiertes

npm ↗ Go ↗

Wenn du solche Meldungen liest, stellst du dir als Entwickler eine Frage: Habe ich eines dieser Pakete installiert?

Und genau hier kommt Bumblebee ins Spiel.

Was Bumblebee anders macht

Die meisten Sicherheitstools setzen auf SBOMs (Software Bill of Materials) oder klassische Schwachstellen-Scanner. Die sind gut für Build-Artefakte und Repositories, aber sie beantworten nicht die Frage, was auf deinem Entwickler-Laptop los ist. Genau da setzt Bumblebee an.

Der Clou: Bumblebee ist schreibgeschützt. Es führt niemals Paketmanager aus, installiert nichts und führt keinen Code aus. Das ist ein entscheidender Unterschied. Denn ein npm-Paket, das kompromittiert wurde, hat oft postinstall-Skripte. Wenn dein Scanner npm ls aufruft, um etwas zu prüfen, könnte er den Angriff, nach dem er sucht, bereits auslösen. Bumblebee liest stattdessen direkt die Metadaten – Lockfiles, Manifeste, dist-info-Verzeichnisse.

Was Bumblebee abdeckt

Bumblebee durchsucht dein System auf vier Ebenen:

Paketmanager: npm, pnpm ↗ ↗, Yarn ↗ ↗, Bun, PyPI, Go modules, RubyGems, Composer
KI-Agenten-Konfigurationen: MCP-Server-Konfigurationen (ja, auch deine <a href="https://hermes-agent.nousresearch.com↗" target="_blank" rel="noopener noreferrer"
Hermes ↗-Einstellungen)
Editor-Erweiterungen: VS Code, Cursor ↗ ↗, Windsurf, VSCodium
Browser-Erweiterungen: Chrome, Edge, Brave, Arc und Firefox

Das ist eine ziemlich umfassende Liste. Besonders spannend finde ich die MCP-Unterstützung – denn KI-Tools werden immer mehr zum Einfallstor für Angriffe, und die wenigsten Sicherheitslösungen haben das auf dem Radar.

Drei Scan-Profile für verschiedene Situationen

Bumblebee kennt drei Profile, die unterschiedliche Tiefen abdecken:

Das Baseline-Profil scannt die üblichen globalen Paketquellen, Editor- und Browser-Extensions. Gut für den regelmäßigen Routinecheck, zum Beispiel als täglicher Cron-Job.

Das Projekt-Profil geht gezielt in deine Workspaces. Gib ihm dein ~/code mit, und es listet alle Abhängigkeiten aus den Lockfiles auf.

Das Deep-Profil ist für akute Vorfälle gedacht. Hier kannst du mit --root $HOME und einem Exposure-Catalog gezielt nach bestimmten Paketen suchen. Wenn also das nächste Mal eine Sicherheitswarnung kommt, weißt du innerhalb von Minuten, ob du betroffen bist.

Wie du Bumblebee selbst ausprobierst

Du brauchst Go 1.25+ und installierst es in einer Zeile:

bash

go install github.com/perplexityai/bumblebee/cmd/bumblebee@latest

Danach ein kurzer Self-Test, ob alles funktioniert:

bash

bumblebee selftest
# selftest OK (2 findings in 1ms)

Und schon kannst du deinen ersten Scan starten:

bash

bumblebee scan --profile baseline > inventory.ndjson

Die Ausgabe ist NDJSON – jede Zeile ein JSON-Record. Perfekt für die Weiterverarbeitung.

Was mir besonders gefällt: Perplexity pflegt im Repository ein threat_intel/-Verzeichnis mit aktuellen Exposure-Catalogs. Die werden regelmäßig per Pull Request aktualisiert – zuletzt mit dem TrapDoor-Eintrag. Du kannst dir den Katalog klonen und gezielt dagegen scannen:

bash

bumblebee scan --profile deep \
  --root ~/code \
  --exposure-catalog threat_intel/ \
  --findings-only \
  --max-duration 5m

Gedanken zur Integration

Ich habe mir überlegt, ob und wie ich Bumblebee in meinen eigenen Workflow einbaue. Auf meiner WSL2-Entwicklungsumgebung mit all den npm/pnpm-Projekten und den Hermes-MCP-Konfigurationen wäre ein täglicher Baseline-Scan sinnvoll. Gekoppelt mit einer Benachrichtigung, wenn ein Finding auftaucht.

Was mich noch etwas zurückhält: Es ist Version 0.1.1 – ganz frisch. Die aktuelle Coverage ist solide, aber es gibt Lücken (Cargo-Unterstützung ist angekündigt, aber noch nicht im Schema). Für den produktiven Einsatz auf Herz und Nieren geprüft, ist es noch nicht. Aber für den persönlichen Workflow und als Ergänzung zu bestehenden Sicherheitsmaßnahmen ist es ein echter Gewinn.

Fazit

Bumblebee beantwortet eine Frage, die bisher überraschend schwer zu beantworten war: Ist mein Entwicklerrechner von dieser Sicherheitswarnung betroffen? Es tut das schreibgeschützt, ohne die Probleme zu verschlimmern, die es sucht. Das ist clever gemacht.

Ich werde es in den nächsten Tagen aufsetzen und einen Cron-Job dafür einrichten. Mal sehen, ob und was es bei mir findet. Wahrscheinlich nichts – aber das ist ja die beste Nachricht, die ein Sicherheitsscanner liefern kann.

Wer Bumblebee ausprobieren möchte: Das Repository liegt auf github.com/perplexityai/bumblebee↗. Einfach klonen, bauen, scannen.

Los, probier es aus.