Trivy
Scanner de sécurité open source polyvalent — Aqua Security, 2019. Analyse images de conteneurs, systèmes de fichiers, dépôts git et clusters K8s à la recherche de CVE, de secrets, de mauvaises configurations et de licences.
Un binaire unique (Go), sans dépendances. La base par défaut est celle d'Aqua Security, mise à jour chaque jour. Sortie en tableau, JSON ou SBOM (SPDX/CycloneDX). S'exécute en CI (trivy image <nom>) ou comme admission controller K8s (Trivy Operator).
A pris l'avantage sur Clair, Anchore et Snyk Container grâce à sa vitesse et à l'étendue de sa couverture. Le choix par défaut des pipelines CI/CD modernes pour l'analyse d'images.