Perplexity, 내부 보안 도구 ‘Bumblebee’ 오픈소스 공개: 개발자 공급망 보안을 위한 읽기 전용 스캐너의 등장

서론: 커져가는 공급망 보안 위협

소프트웨어 개발 현장에서는 공급망을 통한 보안 위협이 꾸준히 증가하고 있습니다. 2024년 이후 npm 및 PyPI 같은 패키지 저장소를 악용한 악성 코드 유포 사례가 잇따라 보고되면서 개발자 엔드포인트의 보안 강화는 필수 과제로 떠올랐습니다. 개발자가 일상에서 사용하는 패키지 매니저, 라이브러리, 확장 프로그램 등 소프트웨어 공급망은 편리하지만, 그만큼 공격 표면이 되고 있습니다.

이런 상황에서 AI 검색 기업 Perplexity가 내부에서 사용하던 보안 도구 ‘Bumblebee’를 오픈소스화했습니다. 이번 공개는 개발자 커뮤니티에 실질적인 보안 도구를 제공할 뿐 아니라, 공급망 보안 접근 방식에 대한 새로운 논의를 불러일으킬 전망입니다.

Bumblebee 프로젝트 개요

Bumblebee는 Perplexity가 직접 개발해 사용해 온 보안 스캐닝 도구입니다. 공식 발표에 따르면, 이 도구는 macOS와 Linux 환경의 개발자 엔드포인트에 설치된 소프트웨어 공급망 구성 요소를 면밀히 파악하는 역할을 합니다. 개발자들이 프로젝트 의존성을 집중 관리하고, 잠재적인 보안 위협 요소를 미리 탐지할 수 있도록 설계되었으며, 2026년 5월 GitHub 오픈소스로 공개되었습니다.

Bumblebee의 가장 큰 특징은 완전한 읽기 전용(Read-Only) 방식입니다. 기존 보안 도구들이 시스템 파일이나 코드를 직접 실행하거나 변경하는 것과 달리, Bumblebee는 시스템을 변경하지 않고 데이터 수집에만 집중합니다. 이런 방식 덕분에 개발 환경의 안전성을 유지하며 인벤토리를 투명하게 수집할 수 있습니다.

기술적 특성과 지원 범위

Bumblebee는 다양한 개발 환경에서 폭넓게 활용할 수 있습니다. 특히 다음과 같은 공급망 구성 요소 스캔을 지원합니다.

• 패키지 매니저: npm(JavaScript), PyPI(Python), Go Modules(Go) 지원
• 확장 프로그램: VS Code, Chrome, Firefox 등 주요 개발 툴과 브라우저의 확장 프로그램 탐지
• 의존성 트리: 프로젝트별 직접 및 전이 의존성까지 식별

Bumblebee는 시스템 파일이나 패키지의 메타데이터를 읽기만 수행합니다. npm install, pip install 등 실제 패키지 매니저 명령을 실행하지 않아 예기치 않은 시스템 변경이나 충돌을 방지합니다. 네트워크 호출도 최소화되어 개발 환경의 안정성을 유지합니다.

스캔 결과는 구조화된 소프트웨어 인벤토리(SBOM) 형태로 출력되며, 이를 통해 보안팀과 개발팀이 취약점 공유와 신속한 대응을 할 수 있습니다.

오픈소스화의 의의

Perplexity의 Bumblebee 오픈소스 공개는 단순한 기술 공개를 넘어, 여러 면에서 의미가 큽니다. 첫째, 개발자 중심의 보안 문화 확산에 기여합니다. 기존 보안 솔루션들이 개발자의 업무와 분리되는 경우가 많았지만, Bumblebee는 개발 워크스페이스와 밀접하게 연동됩니다.

둘째, 글로벌 커뮤니티의 참여로 품질 향상이 기대됩니다. 누구나 버그 제보, 기능 개선, 새로운 통합 기능 등을 제안하며 오픈소스의 장점을 살릴 수 있습니다. 기업의 사내 도구가 놓치기 쉬운 다양한 환경을 포괄할 수 있습니다.

셋째, 소규모 팀과 스타트업도 손쉽게 보안 도입이 가능해집니다. 별도의 보안 인력이나 비용 부담 없이, 기본적인 공급망 인벤토리 확보가 매우 쉬워집니다.

공급망 보안 트렌드와 연관성

최근 소프트웨어 공급망 보안은 IT 업계 최상위 화두입니다. 미국 NIST의 SSDF(소프트웨어 공급망 보안 프레임워크)나 SAFECode의 가이드라인 등에서는 자체 소프트웨어 인벤토리를 관리하고 취약점을 체계적으로 추적할 것을 권고합니다. Bumblebee의 읽기 전용 스캔은 이런 프레임워크의 요구를 충실히 반영하면서도 개발자 중심 효율성을 강화합니다.

대부분의 기존 보안 도구는 별도 에이전트 설치나 빌드 파이프라인 통합이 필수지만, Bumblebee는 추가 설치 없이 곧바로 사용할 수 있는 경량 스캐너입니다.

결론: 보안 패러다임의 변화와 전망

Bumblebee 오픈소스화는 ‘개발자 친화적 보안 도구’라는 새로운 표준을 제시합니다. 코드 실행 없는 읽기 전용 철학은 보안을 강화하면서도 개발 생산성을 침해하지 않겠다는 의지의 표현입니다.

향후 Bumblebee 생태계가 커뮤니티 기여로 얼마나 넓어질지 주목받고 있습니다. 다양한 운영체제 지원, CI/CD 파이프라인 통합, 취약점 데이터베이스 연동 등이 추가되면 오픈소스 공급망 보안 표준으로 도약할 가능성도 높아집니다. Perplexity의 결단이 업계에 의미 있는 변화를 촉진할지 주목됩니다.