Distroless
Imagens de contêiner sem distribuição de sistema operacional: só a sua aplicação, o runtime e as bibliotecas necessárias.
Projeto do Google. Sem shell, sem apt, sem curl. Imagem menor, superfície de ataque menor e menos CVEs para corrigir. O preço: é impossível entrar com kubectl exec para depurar na mão.