bumblebee - สแกนเนอร์สำหรับตรวจสอบการเปิดเผยจากการโจมตีซัพพลายเชน

• ตัวรวบรวมอินเวนทอรีแบบอ่านอย่างเดียวที่เก็บ เมตาดาต้าของแพ็กเกจ/ส่วนขยาย/เครื่องมือพัฒนา จากเครื่องนักพัฒนาบน Mac/Linux เพื่อให้ตรวจสอบได้ทันทีเมื่อเกิดการโจมตีซัพพลายเชน
• มอบมุมมองแยกต่างหากสำหรับพื้นที่ที่ SBOM (มีอะไรถูกแจกจ่ายไปบ้าง) และ EDR (มีอะไรถูกรันไปบ้าง) ตอบไม่ได้ กล่าวคือใช้ดูสถานะภายในเครื่องที่กระจัดกระจาย เช่น lockfile/เมตาดาต้าของตัวจัดการแพ็กเกจ/manifest ของส่วนขยาย
• ไม่รันตัวจัดการแพ็กเกจ (npm ls, pip show เป็นต้น) และไม่อ่านไฟล์ซอร์ส แต่จะ พาร์สเฉพาะเมตาดาต้า เพื่อทำการตรวจสอบโดยไม่มีผลข้างเคียง
• แปลงสถานะดิสก์ที่กระจัดกระจายให้เป็น ระเบียน NDJSON แบบมีโครงสร้าง และหากมีแค็ตตาล็อกการเปิดเผยที่กำหนดมา จะทำเครื่องหมายรายการที่ตรงกันแบบเป๊ะ (ecosystem, name, version) เป็นระเบียน finding
• มี 3 โปรไฟล์ ให้เลือก
  • baseline: รูทแพ็กเกจแบบโกลบอล/ผู้ใช้, toolchain, ส่วนขยายของเอดิเตอร์/เบราว์เซอร์, เป้าหมายการตั้งค่า MCP
  • project: ไดเรกทอรีพัฒนาที่ประกอบด้วย ~/code, ~/src, ~/work เป็นต้น
  • deep: เป้าหมาย --root ที่ระบุชัดเจนรวมถึง $HOME
• รองรับ ระบบนิเวศอย่างกว้างขวาง: npm/pnpm/Yarn/Bun, PyPI, Go modules, RubyGems, Composer, Homebrew รวมถึงส่วนขยายของเอดิเตอร์/เบราว์เซอร์
• ตรวจสอบ การตั้งค่าโฮสต์ MCP และ Agent skills ด้วย
• เป็นไบนารีสแตติกเดี่ยวที่พัฒนาด้วย Go และไม่มีการพึ่งพาอื่นนอกเหนือจาก standard library
• ใบอนุญาต Apache-2.0