Original em inglês: https://argusic.com/subject/bumblebee
bumblebee
Scanner de endpoints somente leitura para metadados de pacotes, extensões e ferramentas de desenvolvimento no disco, criado para verificar a exposição a comprometimentos conhecidos da cadeia de suprimentos de software.
Executafonte: GitHubGoApache-2.0commit 8ef7fbce5748
Go, licença Apache-2.0. O projeto se descreve como: golang, package inventory e supply chain security.
bumblebee executa. Em uma máquina limpa sem GPU, um agent da Argusic o instalou em 3 minutos e não encontrou nenhum erro, e a sessão inteira foi gravada.
bumblebee v0.0.0-20260923154808 runs as a static Go binary on Linux amd64; the built-in selftest passes, the full test suite (23 modules) passes, and a baseline scan against the local environment completes successfully discovering 1061 package records across 2 ecosystems (go, pypi) from 22624 files considered.
O que o agent conseguiu em uma máquina limpa, nas palavras dele. Como isto é medido
Medido pela Argusic em uma máquina nova, todas as vezes. Cada número tem link para as suas evidências. Pontuação Argusic 100 de 100 (a média das pontuações das execuções deste projeto).
Visão geral
Dados do projeto de GitHub, com link no topo desta página, atualizado em . Dados de teste da Argusic (CC BY 4.0); cada número tem link para uma página de execução com o log completo, a gravação e os hashes sha256 deles.
O que foi medido
Da execução que decidiu este veredito. Cada linha é um valor registrado, não uma estimativa.
- Tempo de instalação
- 3 minutos
- Da máquina limpa até o fim
- 4 minutos
- Erros encontrados e corrigidos
- 0 encontrados, 0 corrigidos sem ajuda humana
- Como o resultado foi comprovado
- Built: 'go build -o bumblebee ./cmd/bumblebee' produced the binary. Test suite: 'go test ./...' exited 0 with 23/23 modules OK. Selftest: '/work/repo/bumblebee selftest' printed 'selftest OK (5 findings in 2ms)'. Baseline scan: '/work/repo/bumblebee scan --profile baseline' exited 0, scanned 22624 files, emitted 1061 package records across go/pypi ecosystems, summary status 'complete'. Binary version: '/work/repo/bumblebee version' printed its version, commit, build time, and Go runtime.
- Tokens de modelo usados
- 46.812
- Commit exato testado
- 8ef7fbce5748
- Imagem do container
- sha256:cdd920bce783
O que não foi medido
A outra metade, para você ver exatamente até onde estas evidências vão. Uma lacuna é mostrada como lacuna e nunca é preenchida.
- Pico de memória da GPU
- esta execução foi em uma máquina com CPU, então não havia GPU para medir
- Comportamento em uma execução longa
- cada tentativa usa as menores configurações documentadas e um orçamento de tempo fixo, então isto mede se ele executa, não como ele se comporta sob carga
O fim da gravação
As últimas linhas da sessão de terminal que decidiu este veredito, exatamente como foram gravadas.
cd /work/repo && git log --oneline -1 2>&1; echo "---"; cat /work/repo/VERSION' in /work/repo succeeded in 0ms: --- TIMING --- Thu Oct 1 07:19:26 UTC 2026 Started: -rw-r--r-- 1 runner runner 6 2026-10-01 07:16:01.377434903 +0000 /work/repo/VERSION 8ef7fbc Merge pull request #80 from ronheichman/advisory-catalog/memtensor-2026-09-23 0.1.1 All systems are green. Here's the final report. tokens used 46,812 All systems are green. Here's the final report.
Reproduzir a sessão inteira, cada comando desde a máquina limpa até este ponto.
Como foi testado
Um agent, um container, nenhuma ajuda humana. Ele instala o projeto do jeito que a própria documentação do projeto manda, executa o projeto e corrige o que quebra. Tudo abaixo é registrado como aconteceu: a sessão de terminal, o log e o commit exato. A metodologia completa.
Pontos fortes e limites
Fatos medidos, não opiniões. Como este conteúdo é escrito.
O que deu certo
- Chegou a um estado de execução em uma máquina limpa, com a sessão gravada.
- Instalado em 3 minutos, mais rápido que a mediana dos 7 projetos comparáveis que a Argusic mediu.
- Nada quebrou no caminho: zero erros entre o clone e a execução.
- Executou sem GPU, então não precisa de uma para iniciar.
- Licença Apache-2.0, segundo a plataforma onde o projeto está hospedado.
O que não deu certo, ou não se sabe
- Medido uma vez até agora. Uma única tentativa mostra que ele pode executar, não que executa de forma confiável.
Dos 8 projetos de golang que a Argusic instalou e cronometrou, bumblebee foi o 3º mais rápido a chegar a um estado de execução, e 7 de 8 chegaram a esse estado.
Para que é uma escolha razoável
- Testar em um laptop ou em um servidor pequeno: ele chegou a um estado de execução sem GPU.
- Uma avaliação rápida: ele estava executando 3 minutos depois do clone.
- Seguir o próprio README: o caminho documentado funcionou sem nada para corrigir.
Histórico de execuções
Tópicos (de GitHub)
Incorporar o selo
Markdown para o README do projeto. Ele tem link de volta para esta página; os termos estão na página de termos.
[](https://argusic.com/subject/bumblebee)Perguntas
- bumblebee executa?
- Sim. bumblebee executa. A Argusic o instalou e iniciou em uma máquina limpa em 3 minutos, encontrando 0 erros no caminho, e gravou a sessão.
- Como a Argusic testou bumblebee?
- Em uma máquina nova e descartável, com cada comando gravado e o repositório fixado no commit 8ef7fbce5748. Há uma tentativa registrada, e a metodologia completa está na página da metodologia.
- Quanto custou testar bumblebee?
- A execução que produziu este veredito custou US$ 0,02: custo real de computação e de modelo, não um preço de tabela por milhão de tokens. Esse valor está registrado na página da execução.
- Quanto tempo leva para instalar bumblebee?
- 3 minutos na execução que decidiu este veredito, de uma máquina limpa até um estado de execução. É uma tentativa medida, não uma média.
- bumblebee precisa de GPU?
- Não para iniciar. A Argusic chegou a um estado de execução em uma máquina sem GPU.
- O que dá errado ao instalar bumblebee?
- Nada deu errado na execução registrada: zero erros entre o clone e a execução.
- Como bumblebee se compara às alternativas?
- Dos 8 projetos de golang que a Argusic instalou e cronometrou, bumblebee foi o 3º mais rápido a chegar a um estado de execução, e 7 de 8 chegaram a esse estado.
- Onde estão as evidências de bumblebee?
- A execução registrada está nesta página, cada uma com link para o seu log completo e a sua gravação do terminal, guardados com uma impressão digital sha256 para que não possam ser alterados discretamente.