퍼플렉시티, 개발자 보안 스캐너 '범블비' 오픈소스 공개

범블비(Bumblebee)는 퍼플렉시티가 개발자 PC를 공급망 공격으로부터 보호하기 위해 오픈소스로 공개한 보안 스캐너다.

퍼플렉시티 자체 서비스와 Comet, Computer 개발 환경을 지키기 위해 사내에서 직접 사용하던 도구다. 새로운 공급망 취약점이 보고되었을 때 어떤 개발자 PC가 위험에 노출되었는지 즉시 파악하는 용도로 쓰인다.

무엇을 검사할 수 있나

기존 오픈소스 도구들이 일부 영역만 확인하는 것과 달리, 범블비는 개발자 단말의 네 가지 주요 접점을 동시에 점검한다.

첫째는 언어별 패키지 관리자로, npm, pnpm, Yarn, Bun, PyPI, Go modules, RubyGems, Composer를 지원한다.

둘째는 AI 에이전트 설정으로, 최근 활용도가 높아진 MCP 설정을 확인할 수 있다.

셋째는 코드 에디터 확장 프로그램으로, VS Code, Cursor, Windsurf, VSCodium을 포함한 VS Code 계열을 점검한다.

넷째는 브라우저 확장 프로그램으로, Chrome, Comet, Edge, Brave, Arc 등 크로미엄 계열과 Firefox를 지원한다.

스캔 방식은 세 가지 프로파일을 제공한다. MDM 등을 통한 정기 점검용 Baseline, 특정 저장소를 겨냥한 Project, 긴급 침해 사고 대응용 Deep이다. 탐지된 결과는 어떤 위협 카탈로그 항목에 걸렸는지 투명하게 추적할 수 있다.

명령어를 직접 실행하지 않는 순수 읽기 전용 설계

범블비의 가장 큰 장점은 철저한 읽기 전용 구조다.

최근 공급망 공격은 패키지가 설치되는 순간 실행되는 postinstall 스크립트를 악용하는 경우가 많다. 만약 스캐너가 패키지 정보를 파악하려고 npm 같은 명령어를 호출하면, 검사 과정에서 악성코드가 바로 실행되어 버린다.

범블비는 이 위험을 완전히 피한다. 라이프사이클 훅이나 설치 스크립트를 일절 실행하지 않으며 npm, pnpm, bun, pip 같은 도구를 직접 호출하지도 않는다. 소스 코드를 읽는 대신 락파일과 매니페스트 같은 메타데이터 파일만 직접 파싱한다. 또한 EDR이 아니므로 프로세스나 네트워크를 실시간 모니터링하지는 않는다.

사용 방법

범블비는 Go 언어로 작성된 오픈소스 프로젝트로, macOS와 Linux 환경을 지원한다.

보안 및 개발팀은 코드를 내려받은 뒤 자체 관리하는 위험 버전 카탈로그를 지정해 바로 실행하고, 기존 대응 워크플로에 점검 결과를 연동할 수 있다.

왜 중요한가

개발자 로컬 환경은 Cursor 같은 AI 에디터와 로컬 MCP 서버가 도입되면서 공격 노출 면이 급격히 넓어졌지만, 기존 CI 스캐너나 백신으로는 놓치기 쉬운 사각지대였다. 범블비는 이 지점을 정확하게 겨냥한다.

AI 에이전트 도구와 외부 확장 프로그램을 활발히 쓰는 팀이라면 즉시 도입을 검토할 만하다. 패키지 관리자 호출 없이 메타데이터만 훑는 안전한 방식을 택해, 스캔 자체가 또 다른 보안 사고로 이어지는 위험을 깔끔하게 없앴다는 점에서 실용성이 높다.