用途：在 macOS 或 Linux 开发终端上运行 Bumblebee 供应链清单与暴露扫描，回答“某公告点名的包或版本是否存在于本机”。适用于安全公告、事件报告或暴露目录涉及受损软件包、开发工具、浏览器/编辑器扩展或 MCP 主机配置时。仅做只读清单与暴露检查，不用于打补丁、卸载、隔离或改动被扫描机器。
主要能力：支持 baseline（全局包根）、project（指定开发目录如 ~/code）、deep（显式 --root，含 $HOME，用于事件响应）三种扫描配置；支持 --ecosystem 限定生态、--exposure-catalog 传入暴露目录、--findings-only 聚焦发现；输出 NDJSON 原始记录与 Markdown 报告。
使用方式：先确认 profile 与 roots；用 command -v go && go version 检查 Go 需 1.25+，缺失时不自动安装，按平台给出安装指引；用 command -v bumblebee && bumblebee version 检查，缺失时执行 go install github.com/perplexityai/bumblebee/cmd/bumblebee@latest，再运行 bumblebee selftest。扫描示例：bumblebee scan --profile baseline --max-duration 5m > "$OUT/bumblebee-baseline-$TS.ndjson" 2> "$OUT/bumblebee-baseline-$TS.log"。project 与 deep 使用 --root 指定存在的绝对路径，baseline 拒绝裸 $HOME。之后用技能目录内 scripts/render_report.py 将 NDJSON 转为报告。
限制：只报告本地清单与暴露匹配，不做修复；覆盖范围取决于 Bumblebee 支持的生态、所选 roots 与文件系统权限；结果仅代表当时状态，需在安装、依赖更新或事件响应变化后重跑。切勿用 sudo 提权运行，输出文件含清单数据，未经用户明确同意不得上传第三方。诊断细节见 .log 文件。缺少暴露目录时可参考 Bumblebee 仓库 threat_intel/。