범블비는 패키지, 확장 기능을 위한 읽기 전용 인벤토리 수집기입니다. macOS와 Linux 개발자 엔드포인트의 개발자 도구 메타데이터를 포함합니다.

이는 좁은 공급망 대응 질문에 답합니다: 권고가 있을 때 개발자 기기가 보여주는 패키지, 확장 프로그램 또는 버전을 명명합니다 지금 디스크 내 메타데이터에서 일치하는 건가요?

SBOM은 어떤 것이 출시되었는지, EDR은 어떤 것이 실행되었는지를 알려줍니다 네트워크에 손대지만, 공급망 대응은 종종 다른 방식이 필요합니다 보기: lockfiles, package-manager 메타데이터 전반에 걸친 복잡한 로컬 상태, 확장 명단과 지원되는 개발자 도구 설정.

Bumblebee는 그 흩어진 디스크 상태를 구조화된 NDJSON으로 변환합니다 구성 요소 기록을 제공하고, 노출 카탈로그를 받으면 정확한 플래그를 표시합니다 응답자가 이미 그들이 무엇을 원하는지 아세요.

범위

• 단일 정적 바이너리, Go 1.25+, 비-stdlib 의존성 0.
• 서로 다른 세 가지 스캔 프로필 (baseline, project, deep) 개체군과 계절.
• 락파일만 읽기, 패키지 관리자 설치 메타데이터, 확장 명단과 지원되는 MCP JSON 구성 파일들은 다음과 같습니다. docs/inventory-sources.md. 패키지 없음

bumblebee

Bumblebee is a read-only inventory collector for package, extension, and developer-tool metadata on macOS and Linux developer endpoints.

It answers a narrow supply-chain response question: when an advisory names a package, extension, or version, which developer machines show a match in their on-disk metadata right now?

SBOMs help answer what shipped, and EDR helps answer what ran or touched the network, but supply-chain response often needs a different view: messy local state across lockfiles, package-manager metadata, extension manifests, and supported developer-tool configs.

Bumblebee turns that scattered on-disk state into structured NDJSON component records and, when given an exposure catalog, flags exact matches for fast, read-only exposure checks when responders already know what they are looking for.

Scope

• Single static binary, Go 1.25+, zero non-stdlib dependencies.
• Three scan profiles (baseline, project, deep) for different populations and cadences.
• Reads only the lockfiles, package-manager install metadata, extension manifests, and supported MCP JSON configs listed in docs/inventory-sources.md. No package manager execution (npm ls, pip show, go list, …) and no source-file reads. MCP host configs can carry environment values and credentials in their env blocks; Bumblebee parses these configs for the server inventory it needs but does not emit those values in its records.

Coverage