공급망 침해, 터지고 나서야 알면 늦다 — 1초 만에 노출 점검하는 'bumblebee' 스캐너
한눈에 보기
Perplexity가 공개한 bumblebee는 맥/리눅스 개발자 머신에 설치된 패키지·확장·개발 도구의 메타데이터를 수집하는 읽기 전용 인벤토리 스캐너입니다. 공급망 침해(supply chain attack)가 터졌을 때, "내 장비에 그 악성 버전이 깔려 있나?"를 즉시 확인하는 것이 목적이죠. Go로 만든 단일 정적 바이너리에 Apache-2.0 라이선스로 공개됐습니다.
왜 SBOM과 EDR만으로는 부족할까
보안 도구는 이미 많은데 왜 또 하나가 나왔을까요? 핵심은 사각지대입니다.
- SBOM은 "무엇이 배포됐나(what shipped)"를 답합니다.
- EDR은 "무엇이 실행됐나(what ran)"를 답합니다.
- 하지만 lockfile, 패키지 매니저 메타데이터, 확장 매니페스트처럼 디스크 여기저기 흩어진 로컬 상태는 둘 다 잘 보지 못합니다.
bumblebee는 바로 이 흩어진 로컬 상태를 별도의 관점으로 들여다봅니다.
부작용 없이, 메타데이터만
점검 도구가 오히려 사고를 치면 곤란하겠죠. bumblebee는 안전을 최우선으로 설계됐습니다.
npm ls,pip show같은 패키지 매니저를 실행하지 않습니다.- 소스 파일도 읽지 않습니다.
- 오직 메타데이터만 파싱해 부작용 없이 점검만 수행합니다.
수집한 디스크 상태는 구조화된 NDJSON 레코드로 변환됩니다. 여기에 노출 카탈로그를 함께 주면, (ecosystem, name, version)이 정확히 일치하는 항목을 finding 레코드로 표시해 줍니다. 즉, 알려진 악성 버전 목록과 대조해 감염 여부를 가려내는 식이죠.
상황에 맞는 세 가지 프로파일
| 프로파일 | 점검 범위 |
|---|---|
| baseline | 전역/사용자 패키지 루트, 툴체인, 에디터·브라우저 확장, MCP 설정 |
| project | ~/code, ~/src, ~/work 등 개발 디렉터리 |
| deep | $HOME 포함 + 명시적 --root 대상 |
빠른 일상 점검은 baseline, 정밀 조사는 deep으로 쓰면 됩니다.
넓은 생태계 커버리지
요즘 개발 환경은 언어와 도구가 뒤섞여 있죠. bumblebee는 이를 폭넓게 지원합니다.
- 패키지 매니저: npm / pnpm / Yarn / Bun, PyPI, Go modules, RubyGems, Composer, Homebrew
- 확장: 에디터·브라우저 확장
- AI 시대 대응: MCP 호스트 설정과 Agent skills까지 체크
특히 MCP와 Agent skills 점검을 포함했다는 점이 눈에 띕니다. AI 에이전트 도구가 새로운 공급망 공격 표면이 되고 있는 흐름을 반영한 셈입니다.
정리
bumblebee는 거창한 보안 플랫폼이 아니라, **"침해 사고가 났을 때 내 장비가 영향권인지 1초 만에 확인"**이라는 명확한 한 가지 문제를 푸는 도구입니다. 의존성 없는 단일 바이너리라 도입 부담도 적습니다. 개발 머신을 여러 대 관리하거나, 공급망 사고 대응 절차를 갖추고 싶은 팀이라면 한 번 살펴볼 만합니다.