Bumblebee — это сборщик инвентаря только для чтения для упаковки, расширения, а также метаданные инструмента разработчика на конечных точках для разработчиков macOS и Linux.

Это отвечает на узкий вопрос по цепочке поставок: когда консультация называет пакет, расширение или версию, которую показывают машины разработчиков Совпадение в их метаданных на диске прямо сейчас?

SBOM помогают ответить на то, что было отправлено, а EDR — что было запущено или коснулся сети, но реакция на цепочку поставок часто требует иного подхода Вид: беспорядочное локальное состояние между файлами блокировки, метаданные менеджера пакетов, манифесты расширений и поддерживаемые конфигурации инструментов разработчиков.

Bumblebee превращает это рассеянное состояние на диске в структурированный NDJSON Записи компонентов и, при получении каталога экспозиций, отмечают точные совпадение для быстрых, только для чтения проверок экспозиции, когда реагирующие уже Знайте, что они ищут.

Масштаб

• Одиночный статический двоичный файл, Go 1.25+, ноль зависимостей, не связанных с stdlib.
• Три профиля сканирования (baseline, project, [deep) для разных Популяции и каденции.
• Читает только файлы блокировки, метаданные по установке менеджера пакетов, манифесты расширения и поддерживаемые конфигурации MCP JSON, указанные в docs/inventory-sources.md. Нет посылки

bumblebee

Bumblebee is a read-only inventory collector for package, extension, and developer-tool metadata on macOS and Linux developer endpoints.

It answers a narrow supply-chain response question: when an advisory names a package, extension, or version, which developer machines show a match in their on-disk metadata right now?

SBOMs help answer what shipped, and EDR helps answer what ran or touched the network, but supply-chain response often needs a different view: messy local state across lockfiles, package-manager metadata, extension manifests, and supported developer-tool configs.

Bumblebee turns that scattered on-disk state into structured NDJSON component records and, when given an exposure catalog, flags exact matches for fast, read-only exposure checks when responders already know what they are looking for.

Scope

• Single static binary, Go 1.25+, zero non-stdlib dependencies.
• Three scan profiles (baseline, project, deep) for different populations and cadences.
• Reads only the lockfiles, package-manager install metadata, extension manifests, and supported MCP JSON configs listed in docs/inventory-sources.md. No package manager execution (npm ls, pip show, go list, …) and no source-file reads. MCP host configs can carry environment values and credentials in their env blocks; Bumblebee parses these configs for the server inventory it needs but does not emit those values in its records.

Coverage