Syft
コンテナイメージの中に紛れ込んでいるものすべての一覧を生成するツール。出力は、今や調達要件で求められる標準形式で行う。
イメージのレイヤー、ファイルシステム、アーカイブをたどり、見つかるほぼすべてのエコシステムのパッケージを識別する。ディストリビューション由来のapk、deb、rpmに加え、ビルド時に入ったnpm、pip、Goモジュール、Javaアーカイブ、Rustクレートも対象だ。結果はSPDXまたはCycloneDX形式のSBOMとして書き出される。姉妹ツールのGrypeとは役割を意図的に分けてある。Syftは「何が入っているか」を調べ、Grypeはその一覧を脆弱性データベースと照合する。そのため、一覧はビルド時に一度作れば、新しい脆弱性が公開されるたびに、ビルドし直すことなく再スキャンできる。SBOMは通常cosignで署名してイメージに添付する。