Perplexity는 감염을 유발하지 않고 컴퓨터에 감염된 소프트웨어가 있는지 확인하는 도구를 만들었다

📄전체 원문· trafilatura에 의해 자동 추출됨Gemini 翻譯3765 자

요약 - Bumblebee는 개발자 컴퓨터에서 손상된 소프트웨어, 브라우저 확장 프로그램, AI 커넥터 설정을 검사하는 무료 오픈소스 도구로, 감염된 코드를 실행하지 않습니다. - 대부분의 스캐너는 검사하려는 소프트웨어를 호출하는 방식으로 작동하는데, 이는 탐지하려던 공격을 의도치 않게 촉발할 수 있습니다. - AI 도구가 사용자 데이터에 접근하도록 해주는 커넥터인 MCP 설정 파일을 보안 표면으로 다루는 최초의 오픈소스 스캐너입니다. 집에 있는 물병 중 하나에 누군가 독을 탔다고 의심된다고 상상해 보세요. 확인하려고 모든 물병에서 한 모금씩 마십니다. 대부분의 보안 스캐너가 작동하는 방식이 대체로 이렇습니다. Perplexity는 방금 다른 접근 방식을 취하는 Bumblebee라는 도구를 오픈소스로 공개했습니다. 이 도구는 개발자 컴퓨터에서 감염된 소프트웨어 패키지, 악성 브라우저 확장 프로그램, 손상된 AI 도구 설정을 검사합니다—발견한 코드를 결코 실행하지 않습니다. 음식을 먹는 대신 코드, 즉 성분 표시를 읽는 셈입니다. 5월 11일, TeamPCP라는 해커 그룹이 전 세계 수백만 명의 개발자가 사용하는 160개 이상의 소프트웨어 패키지에 악성 코드를 몰래 심었습니다—여기에는 Mistral AI, UiPath의 패키지와 주간 다운로드 1,200만 회를 기록하는 널리 사용되는 React 도구가 포함됩니다. 개발자가 해당 패키지를 설치하는 순간 공격이 자동으로 확산되었습니다. Perplexity는 자사의 Bumblebee가 이를 막을 수 있었을 것이라고 말합니다. "읽기 전용"이 핵심인 이유 소프트웨어 패키지—특히 JavaScript 세계의 패키지—는 설치하는 순간 숨겨진 스크립트를 실행할 수 있습니다. 5월 11일 공격이 그토록 빠르게 확산된 것이 바로 이 때문입니다. 악성 코드는 누군가 무언가 잘못되었음을 알아차리기 전에 설치 시 자동으로 실행되었습니다. 감염을 확인하기 위해 패키지 매니저를 호출하는 스캐너는 바로 그 스크립트들을 촉발할 수 있습니다. 벌레를 찾으러 가는 순간, 그 벌레가 실행되는 것입니다. Bumblebee는 어떤 패키지 매니저도 전혀 호출하지 않음으로써 이를 회피합니다. 소프트웨어 자체에는 손대지 않고 원시 메타데이터 파일—설치된 항목을 기술하는 기록—을 읽기만 합니다. 진정으로 새로운 부분은 Bumblebee가 MCP 설정 파일—Claude나 Cursor 같은 AI 어시스턴트에게 어떤 외부 서비스에 연결할 수 있는지 알려주는 로컬 파일—도 검사한다는 점입니다. MCP 커넥터는 AI 도구에 이메일, 데이터베이스, 캘린더, 코드에 대한 접근을 제공합니다. 공격자가 악성 커넥터를 그 설정에 몰래 끼워 넣으면, AI 어시스턴트가 자격 증명을 유출하거나 백그라운드에서 무단 명령을 실행할 수 있습니다. 대부분의 보안 도구는 아직 이를 검사하지 않습니다. MCP 외에도 Chrome, Edge, Brave, Arc, Firefox의 브라우저 확장 프로그램과 VS Code 및 그 포크의 에디터 플러그인도 다룹니다. 전체 검사는 한 번에 이루어지고, 발견된 내용을 깔끔한 구조화된 목록으로 출력하며, 기기의 어떤 것도 절대 수정하지 않습니다. Perplexity의 내부 활용 방식 Perplexity는 자사 검색 제품, Comet 브라우저, Computer AI 에이전트를 지원하는 시스템을 보호하기 위해 Bumblebee를 내부적으로 운영해 왔습니다. 새로운 위협이 표면화되면 Perplexity Computer가 해당 위협의 카탈로그 항목을 초안으로 작성하고, 사람이 검토하고 승인하며, Bumblebee가 모든 개발자 기기에서 실행되어 일치 항목을 확인합니다. Bumblebee는 내부 도구로 시작되었습니다. 사용자를 위해 Perplexity 제품을 더 안전하게 만드는 일은 우리가 그것을 구축하는 데 사용하는 개발자 시스템을 보호하는 것에서 시작됩니다. 전체 블로그 읽기: https://t.co/M2IrAYtfCg — Perplexity (@perplexity_ai) 2026년 5월 22일 팀들도 같은 방식으로 자체 카탈로그를 운영할 수 있습니다. 이 도구는 5월 11일 캠페인을 포함한 최근 공급망 공격을 기반으로 한 내장 위협 디렉터리와 함께 제공됩니다. 그 공격의 배후 그룹—Google이 UNC6780이라는 별칭으로 추적 중인—은 적어도 2026년 3월부터 조직적인 소프트웨어 오염 캠페인을 운영해 왔습니다. Bumblebee는 github.com/perplexityai/bumblebee에서 Apache 2.0 라이선스로 무료로 제공되며, 법적 문제 없이 실행하고, 수정하고, 개선하고, 포크할 수 있습니다.

데이터 상태✓ 전체 내용 추출 완료원문 읽기 (Decrypt)

🔍과거 유사 사건· 키워드 + 종목 매칭4 건

2026-05-13

Meta 직원들, AI 모델 학습용 마우스 추적 도구 도입에 반발

유사도 130%關鍵字 tool/built

2026-04-22

OpenAI 방금 ChatGPT가 비밀을 확인하기 전에 이를 삭제하는 도구를 오픈소스로 공개했습니다

유사도 100%關鍵字 tool/your

2026-04-21

미국 인도태평양사령부 사령관, Bitcoin을 국가 권력과 안보를 위한 “가치 있는 컴퓨터 과학 도구”로 평가

유사도 100%關鍵字 tool/computer

2026-04-18