Bumblebee 完全ガイド：Perplexity オープンソースのサプライチェーンセキュリティスキャナー
ひと言で言うと：Bumblebee は Go で書かれた、依存関係ゼロの読み取り専用スキャナーです。ローカルマシン上の、悪用される可能性のあるすべてのソフトウェア層を一括でスキャンします——npm パッケージから MCP サーバー、ブラウザ拡張機能まで。
なぜ Bumblebee は 2026 年にこれほど重要なのか？
AI ツールが爆発的に増えている今、開発者のローカル環境は巨大で未監査の攻撃面と化しています。MCP サーバーをインストールするのは npm パッケージをインストールするのと変わらない気軽さになっています。VS Code 拡張機能を、10K+ のスターがあるからといって信頼してしまいます。「すごく便利」な CLI ツールを手にするために、Discord のリンクを気軽にクリックしてしまいます。
Bumblebee はまさにこの盲点を解消するために生まれました。これは単なる SBOM（ソフトウェア部品表）ジェネレーターではありません。開発者のマシン上で直接実行され、実際に稼働しているソフトウェアの状態を読み取ります。
コア機能：1回のスキャンでフルスタックをカバー
Bumblebee の真価は、その breadth（幅広さ）と depth（深さ）にあります。
✅ 1. 複数言語のパッケージマネージャーをスキャン
- npm:
package.jsonとnode_modules - PyPI:
requirements.txt、pyproject.toml、pip list - Go:
go.mod、go list -m all - RubyGems:
Gemfile.lock - Composer:
composer.lock
✅ 2. MCP（Model Context Protocol）サーバーのスキャン
これが Bumblebee の最も先進的な機能です。ローカルにインストールされたすべての MCP サーバーをチェックし、既知の悪意ある、あるいは疑わしいレジストリと照合します。
✅ 3. エディターとブラウザ拡張機能の監査
- VS Code:
~/.vscode/extensions/ディレクトリをスキャン - ブラウザ拡張機能: Chrome / Firefox の拡張機能マニフェストを読み取る
✅ 4. 依存関係ゼロ & 読み取り専用設計
- Go 1.25 で書かれており、標準ライブラリ以外の依存は一切ありません。
- 実行時に一切の書き込みを行いません。環境を変更せず、安全・信頼性が高いです。
クイックスタート：インストールから利用までの3ステップ
ステップ 1：インストール
Go 1.25 以上がインストールされている必要があります。
# Bumblebee をインストール
go install github.com/perplexityai/bumblebee@latest
ステップ 2：スキャンを実行
# サプライチェーンのフルスキャンを実行
bumblebee scan
ステップ 3：結果の読み方
Bumblebee は見つけられたリスク項目をすべて列挙した明確な Markdown レポートを出力します。具体的な修正提案も含まれています。
Bumblebee のメリットと制限
| 項目 | メリット | 制限 |
|---|---|---|
| アーキテクチャ | 純粋な Go、外部依存ゼロ、信頼できる | Go 環境が必要。JS/Python 専属チームには追加のハードル |
| カバレッジ | 従来型パッケージマネージャー + 新興 MCP エコシステムをカバー | 検出データベースは開発中、まだ最終版ではない |
| セキュリティ | 厳格な読み取り専用、外部通信なし、CI/CD に適合 | 現在は v0.1.1、1.0 の安定版にはまだ達していない |
| 使いやすさ | コマンドラインインターフェースはシンプルで出力形式も親切 | GUI は提供されていない、ターミナル操作が必要 |
まとめ：DevSecOps パイプラインに必ず入れたいツール
Bumblebee は「あれば便利」なおもちゃではなく、「なくては困る」必需品です。AI ツールチェーンを取り入れているチームなら、それが最初で最重要の防衛ラインになります。
まだ開発環境のスキャンを始めていないなら、今が最高のタイミングです。
今すぐ始めよう：github.com/perplexityai/bumblebee でソースコードと最新のドキュメントをチェックしてください。
本記事は dashen-tech.com の AI ライティングアシスタントにより自動生成されました。2026 年 7 月 14 日時点の公開情報に基づいています。