Bumblebeeはパッケージや拡張のための読み取り専用インベントリコレクターです。 macOSおよびLinuxの開発者エンドポイントにおける開発者ツールのメタデータも含まれます。

それは狭いサプライチェーンの回答に答えています:アドバイザリーが 開発者マシンが表示するパッケージ、拡張機能、またはバージョンの名前が付けられています 今、ディスク上のメタデータに一致しているのですか?

SBOMは出荷されたものの答えを助け、EDRは何が出たかを解明します ネットワークに触れましたが、サプライチェーンの対応はしばしば異なるものを必要とします 表示:ロックファイル、パッケージマネージャーのメタデータ、 拡張マニフェストやサポート済みの開発者ツール設定。

Bumblebeeは、その散在したディスク上の状態を構造化されたNDJSONに変換します コンポーネントレコードと、露出カタログが与えられた場合、フラグが正確に表示されます 応答者がすでに 彼らが何を求めているのかを把握しましょう。

スコープ

• シングル静的バイナリ、Go 1.25+、非stdlib依存なし。
• 異なる3つのスキャンプロファイル(baseline、project、deep]) 人口とカデンス。
• ロックファイルのみを読み込み、パッケージマネージャーのインストールメタデータを読み込むこと、 拡張マニフェストおよびサポートされているMCP JSON設定は以下の通りです。 docs/inventory-sources.md。パッケージはありません

bumblebee

Bumblebee is a read-only inventory collector for package, extension, and developer-tool metadata on macOS and Linux developer endpoints.

It answers a narrow supply-chain response question: when an advisory names a package, extension, or version, which developer machines show a match in their on-disk metadata right now?

SBOMs help answer what shipped, and EDR helps answer what ran or touched the network, but supply-chain response often needs a different view: messy local state across lockfiles, package-manager metadata, extension manifests, and supported developer-tool configs.

Bumblebee turns that scattered on-disk state into structured NDJSON component records and, when given an exposure catalog, flags exact matches for fast, read-only exposure checks when responders already know what they are looking for.

Scope

• Single static binary, Go 1.25+, zero non-stdlib dependencies.
• Three scan profiles (baseline, project, deep) for different populations and cadences.
• Reads only the lockfiles, package-manager install metadata, extension manifests, and supported MCP JSON configs listed in docs/inventory-sources.md. No package manager execution (npm ls, pip show, go list, …) and no source-file reads. MCP host configs can carry environment values and credentials in their env blocks; Bumblebee parses these configs for the server inventory it needs but does not emit those values in its records.

Coverage