bumblebee - サプライチェーン侵害の露出点検用スキャナー

• Mac/Linux の開発者マシンで パッケージ/拡張機能/開発ツールのメタデータ を収集し、サプライチェーン侵害発生時に即座に確認できる読み取り専用のインベントリ収集ツール
• SBOM（何が配布されたか）と EDR（何が実行されたか）では答えられない領域、つまり lockfile/パッケージマネージャのメタデータ/拡張機能マニフェスト などに散在するローカル状態を見るための別視点を提供
• パッケージマネージャを実行せず（npm ls, pip show などは未実行）、ソースファイルも読まず、メタデータのみをパース して副作用なしに点検だけを実行
• 散在するディスク状態を構造化された NDJSON レコード に変換し、露出カタログが与えられると (ecosystem, name, version) の完全一致項目を finding レコードとして表示
• 3つのプロファイル を提供
  • baseline: グローバル/ユーザーパッケージルート、ツールチェーン、エディタ/ブラウザ拡張機能、MCP 設定対象
  • project: ~/code, ~/src, ~/work などで構成された開発ディレクトリ
  • deep: $HOME を含む明示的な --root 対象
• 幅広いエコシステムのカバレッジ を提供: npm/pnpm/Yarn/Bun, PyPI, Go modules, RubyGems, Composer, Homebrew, さらにエディタ/ブラウザ拡張機能まで対応
• MCP ホスト設定 および Agent skills もチェック
• Go で実装された単一の静的バイナリで、標準ライブラリ以外の依存関係なし
• Apache-2.0 ライセンス