Trivy
Aqua Security开源的综合安全扫描工具，除容器镜像漏洞扫描外还覆盖IaC配置文件、Git仓库等场景，广泛应用于CNCF生态，是云原生安全领域的主流扫描引擎
时间轴 (近 90 天)
RepoGates深度扫描在隔离沙箱中由OpenGrep、GitLeaks、Trivy和ClamAV读取公开仓库文件，读代码但从不运行代码。
案例研究的方法：先运行确定性扫描器（Gitleaks、Trivy、Semgrep、Hadolint）生成排序后的发现文档，再叠加三个模型阶段——发现阶段将扫描器输出视为线索对照OWASP和CWE框架阅读源码，链路调查阶段将单个发现组合成攻击路径，分诊阶段确认发现是否可行。
容器安全建议使用 Trivy 扫描漏洞、用 Cosign 校验签名并附带 SBOM 文件
Trivy、Grype、Snyk 是常见的容器镜像漏洞扫描器
Dockhand 集成了 Grype 和 Trivy 两大扫描引擎，能在镜像发布前检测其中包含的 CVE 漏洞
Trivy 由 Aqua Security 开源，除镜像扫描外还覆盖 IaC 配置文件、Git 仓库等场景，在 CNCF 生态中被广泛采用
全部知识事实 (6)
RepoGates深度扫描在隔离沙箱中由OpenGrep、GitLeaks、Trivy和ClamAV读取公开仓库文件，读代码但从不运行代码。
50%待验证案例研究的方法：先运行确定性扫描器（Gitleaks、Trivy、Semgrep、Hadolint）生成排序后的发现文档，再叠加三个模型阶段——发现阶段将扫描器输出视为线索对照OWASP和CWE框架阅读源码，链路调查阶段将单个发现组合成攻击路径，分诊阶段确认发现是否可行。
50%待验证容器安全建议使用 Trivy 扫描漏洞、用 Cosign 校验签名并附带 SBOM 文件
50%待验证Trivy、Grype、Snyk 是常见的容器镜像漏洞扫描器
50%待验证Dockhand 集成了 Grype 和 Trivy 两大扫描引擎，能在镜像发布前检测其中包含的 CVE 漏洞
50%待验证Trivy 由 Aqua Security 开源，除镜像扫描外还覆盖 IaC 配置文件、Git 仓库等场景，在 CNCF 生态中被广泛采用
50%