bumblebee は何をしますか？
依存関係、MCPサーバー、エディター拡張機能を悪意のあるパッケージについてチェックする、読み取り専用のサプライチェーンスキャナーです。
概要
Bumblebeeは、プロジェクトのサプライチェーンをスキャンして、悪意のあるパッケージや既知の脆弱性を特定します。依存関係のファイル（package.json、requirements.txtなど）、MCPサーバーの設定、エディター拡張機能のリストを解析し、既知の脅威データベースと照合します。
使用方法
bumblebee scan
特定のディレクトリをスキャンするには：
bumblebee scan --path /path/to/project
サポート対象
- 依存関係マネージャー: npm、pip、Maven、Gradle、Cargoなど
- MCPサーバー: 設定ファイル（例:
mcp.json） - エディター拡張機能: VS Code、JetBrainsなど
出力例
Checking dependencies...
✔ package.json (npm) - 12 dependencies, 0 malicious
✖ requirements.txt (pip) - 8 dependencies, 1 malicious
- malicious-package (1.0.0) - CVE-2024-1234
Checking MCP servers...
✔ mcp.json - 3 servers, 0 malicious
Checking editor extensions...
✖ extensions.json - 15 extensions, 2 malicious
- evil-extension (1.0.0) - known malware
注意事項
このスキャナーは読み取り専用です。コードベースやファイルを変更しません。定期的なスキャンをCI/CDパイプラインに統合して、サプライチェーン攻撃を防止してください。