Trivy: ένα αρχείο που σου λέει σε δευτερόλεπτα τι τρύπες έχει το έργο σου

Τι κάνει

Φαντάσου ένα σπίτι έτοιμο για παράδοση. Πριν το δώσεις σε ανθρώπους, θέλεις να ξέρεις αν κάποια κλειδαριά είναι από παρτίδα που έχει ανακληθεί. Το Trivy κάνει αυτή τη δουλειά για λογισμικό, και την κάνει με μία εντολή.

Είναι πρόγραμμα γραμμής εντολών. Αυτό σημαίνει ότι δεν έχει παράθυρο με κουμπιά· το φωνάζεις γράφοντας μια εντολή σε ένα τερματικό, σε ένα μαύρο παράθυρο με κείμενο. Αυτό που το κάνει ξεχωριστό είναι ότι το ίδιο το πρόγραμμα είναι ένα και μόνο αρχείο. Το κατεβάζεις, το ξεζιπάς, το τρέχεις. Δεν χρειάζεται να έχει εγκαταστήσει πριν τίποτε άλλο — ούτε γλώσσα προγραμματισμού, ούτε πλατφόρμα εκτέλεσης, ούτε σειρά από βοηθητικά. Είναι γραμμένο σε Go και έχει μετατραπεί σε ένα στατικό εκτελέσιμο: ένα κομμάτι που κουβαλά μέσα του όλα όσα του χρειάζονται. Αυτό, στα Windows, είναι μεγάλη ευκολία, γιατί τα περισσότερα εργαλεία αυτής της κατηγορίας προϋποθέτουν ότι έχεις στήσει κάτι άλλο πρώτα.

Τι ψάχνει, λοιπόν. Τρία πράγματα, και τα τρία τα κάνει με το ίδιο πρόγραμμα.

Πρώτο, τις γνωστές τρύπες μέσα στις βιβλιοθήκες σου. Όταν γράφεις λογισμικό, δεν γράφεις τα πάντα από την αρχή. Χρησιμοποιείς έτοιμα κομμάτια που τα έχουν φτιάξει άλλοι, και τα κατεβάζεις με το όνομα και την έκδοσή τους. Καμιά φορά, μια συγκεκριμένη έκδοση ενός τέτοιου κομματιού έχει ένα γνωστό λάθος ασφαλείας, ένα παραθυράκι από το οποίο μπορεί κάποιος να μπει. Αυτά τα λάθη καταγράφονται δημόσια, με κωδικό, μόλις τα ανακαλύψει κάποιος. Το Trivy κρατά τη δική του λίστα με αυτά, κοιτάζει τι χρησιμοποιείς εσύ, και σου δείχνει ποιο κομμάτι της λίστας σε αγγίζει.

Δεύτερο, τις επικίνδυνες ρυθμίσεις. Ένα λογισμικό μπορεί να είναι εντάξει ως κώδικας και παρ’ όλα αυτά να το έχεις στήσει με λάθος τρόπο. Το παράδειγμα που καταλαβαίνει ο καθένας είναι το εξής: δίνεις σε ένα πρόγραμμα δικαιώματα διαχειριστή χωρίς λόγο, ή του λες να δουλεύει μέσα σε ένα περιβάλλον που του έχει αφήσει ανοιχτά πράγματα που δεν του χρειάζονται. Αυτές οι ρυθμίσεις γράφονται σε αρχεία, για παράδειγμα σε ένα Dockerfile — το αρχείο με τις οδηγίες που λέει πώς χτίζεται ένα πακέτο με το πρόγραμμα και όλα τα εξαρτήματά του. Το Trivy διαβάζει αυτά τα αρχεία και σου επισημαίνει τις γραμμές που είναι ρίσκο.

Τρίτο, τα κλειδιά που έχουν ξεμείνει. Είναι το πιο συνηθισμένο λάθος στον χώρο: κάποιος βιάζεται, βάζει τον κωδικό της βάσης δεδομένων ή το κλειδί μιας υπηρεσίας μέσα στο αρχείο του κώδικα για να δοκιμάσει κάτι, και το ξεχνά εκεί. Το Trivy διαβάζει τα αρχεία και ψάχνει για τέτοια μοτίβα.

Οι πόρτες από τις οποίες μπαίνεις σε αυτές τις τρεις δουλειές είναι οι υποεντολές του. Είναι οι εξής: config, filesystem, image, kubernetes, repository, rootfs, sbom και vm. Σε απλά λόγια, του λες πάνω σε τι να κοιτάξει: σε έναν φάκελο αρχείων, σε ένα αρχείο ρυθμίσεων, σε ένα έτοιμο πακέτο λογισμικού, σε μια συστοιχία από πολλά μηχανήματα που δουλεύουν μαζί, σε ένα αποθετήριο κώδικα. Κάθε φορά γράφεις μία εντολή, το όνομα της περιοχής, και τον στόχο.

Η απάντηση βγαίνει ως πίνακας στο τερματικό, με χρώματα και σοβαρότητα: κρίσιμο, υψηλό, μεσαίο, χαμηλό. Αν τη θέλεις για μηχάνημα, τη ζητάς σε μορφή JSON — κείμενο με δομή που το διαβάζει οποιοδήποτε πρόγραμμα.

Το έργο είναι ζωντανό και το δείχνουν τα νούμερα. Στο GitHub, το αποθετήριο aquasecurity/trivy έχει 39.049 αστέρια, 827 forks και 297 ανοιχτά ζητήματα. Δημιουργήθηκε στις 11 Απριλίου 2019 και δέχτηκε αλλαγές τελευταία φορά στις 5 Νοεμβρίου 2026. Το συντηρεί η Aqua Security, εταιρεία ασφάλειας λογισμικού, με δικό της αποθετήριο στο όνομα aquasecurity. Η άδεια είναι Apache-2.0, δηλαδή ρητά ελεύθερη και χωρίς κόστος.

Η τρέχουσα έκδοση είναι η v0.76.2, δημοσιευμένη στις 5 Νοεμβρίου 2026, 12:50 UTC, με 47 αρχεία στη σελίδα της έκδοσης. Δεν είναι ένα μοναχικό εκτελέσιμο που το ανέβασε κάποιος μια φορά· είναι κανονική διαδικασία έκδοσης, με ξεχωριστά αρχεία για κάθε σύστημα. Ο ρυθμός των εκδόσεων το λέει καθαρά: v0.73.0 στις 3 Αυγούστου, v0.74.0 στις 14 Αυγούστου, v0.75.0 την 1η Οκτωβρίου, v0.76.0 στις 14 Οκτωβρίου, v0.76.1 στις 21 Οκτωβρίου, v0.76.2 στις 5 Νοεμβρίου. Δηλαδή νέα έκδοση κάθε δύο με τρεις εβδομάδες.

Τι δεν κάνει

Δεν διορθώνει τίποτα. Βρίσκει και σου λέει· την αλλαγή την κάνεις εσύ. Δεν υπάρχει κουμπί «φτιάξ’ τα όλα», και καλά κάνει, γιατί ένα πρόγραμμα που αλλάζει εξαρτήματα μόνο του μπορεί να σπάσει το έργο σου χωρίς να το καταλάβεις.

Δεν λέει ψέματα όταν δεν ξέρει. Αυτό ακούγεται αυτονόητο και δεν είναι. Αν του δώσεις έναν φάκελο όπου λείπουν οι πληροφορίες για τις εκδόσεις των βιβλιοθηκών, δεν θα σου πει «όλα καθαρά». Θα σου πει ότι δεν σάρωσε. Η διαφορά ανάμεσα στο «καθαρό» και στο «δεν κοίταξα» είναι ολόκληρη η αξία του εργαλείου, και θα δεις πιο κάτω μετρημένο παράδειγμα.

Δεν είναι διακομιστής εργαλείων για βοηθούς τεχνητής νοημοσύνης. Δεν έχει πρωτόκολλο MCP, δεν δηλώνεις κάπου ότι το χρησιμοποιείς, δεν φορτώνει τίποτα στη μνήμη του βοηθού πριν καν του μιλήσεις. Είναι πρόγραμμα που το φωνάζεις από το κέλυφος, σαν κάθε άλλο εργαλείο γραμμής εντολών.

Δεν φυλάει σε συνεχή βάρδια. Το τρέχεις, σου απαντά, τελειώνει. Δεν κάθεται να προσέχει τον δίσκο σου όλη μέρα και να σε ειδοποιεί μόλις βγει καινούργια τρύπα. Την επανάληψη την κανονίζεις εσύ, είτε με το χέρι είτε μέσα σε μια αυτοματοποιημένη ροή.

Δεν σε προστατεύει την ώρα που το πρόγραμμα τρέχει. Δεν είναι τείχος ασφάλειας, δεν μπλοκάρει κίνηση, δεν σταματάει επίθεση. Είναι έλεγχος πριν παραδώσεις.

Δεν βρίσκει λάθη στη λογική του κώδικα σου. Αν έχεις γράψει μια συνάρτηση που αφήνει τον κάθε χρήστη να δει τα δεδομένα του άλλου, αυτό δεν είναι γνωστή τρύπα κάποιας βιβλιοθήκης και το Trivy δεν θα το δει. Δεν αντικαθιστά την κρίση ανθρώπου που ξέρει το σύστημα.

Και δεν είναι αλάνθαστο. Βγάζει και ψεύτικα ευρήματα, όπως κάθε σαρωτής: περιπτώσεις που ο κώδικας έχει σοβαρότητα στο χαρτί αλλά στη δική σου ρύθμιση δεν είναι εκμεταλλεύσιμος. Γι’ αυτό το κοιτάς με μυαλό, δεν το ακολουθείς στα τυφλά.

Για ποιον είναι

Για τον άνθρωπο που ανεβάζει ένα site και δεν θέλει να μάθει ασφάλεια από τα νέα. Δεν χρειάζεται να ξέρει τι σημαίνει κάθε κωδικός που θα του τυπώσει· χρειάζεται να ξέρει ότι κοίταξε, και ότι ό,τι του πει το διορθώνει.

Για την ομάδα με πολλά έργα, που θέλει έναν έλεγχο ικανό να μπει σε αυτοματοποιημένη ροή, με απάντηση σε μορφή που τη διαβάζει μηχάνημα, ώστε να σταματά η διαδικασία μόλις βρεθεί κάτι κρίσιμο.

Για τον επαγγελματία που παραδίδει σε πελάτη και θέλει να έχει στα χέρια του ένα χαρτί με ευρήματα, όχι μια υπόσχεση ότι «πρόσεξε».

Και για τον άνθρωπο που δουλεύει με βοηθό τεχνητής νοημοσύνης: ένα εργαλείο που λέει σε καθαρή γλώσσα τι είναι λάθος, είναι ό,τι καλύτερο μπορείς να δώσεις σε έναν βοηθό για να διορθώσει κάτι μόνος του.

Εγκατάσταση

Η εγκατάσταση δεν γίνεται μέσα από κάποιο άλλο πρόγραμμα. Είναι ένα αρχείο zip που το κατεβάζεις, το ξεζιπάς σε έναν φάκελο, και το τρέχεις από εκεί.

Πρώτη διαδρομή: το αρχείο των εκδόσεων

Πάρε την τρέχουσα έκδοση απευθείας από τη σελίδα της έκδοσης: https://github.com/aquasecurity/trivy/releases/tag/v0.76.2

Δεύτερο βήμα, κατέβασε το αρχείο για Windows, με όνομα trivy_0.76.2_windows-64bit.zip. Είναι 51,4 MB (53.905.616 bytes).

Τρίτο βήμα, κάνε δεξί κλικ πάνω του και διάλεξε Extract All, δίνοντάς του έναν φάκελο που θα θυμάσαι — για παράδειγμα C:\tools\trivy. Μέσα βρίσκεται το trivy.exe.

Τέταρτο βήμα, άνοιξε ένα τερματικό μέσα σε εκείνον τον φάκελο και επιβεβαίωσε ότι δουλεύει:

trivy --version

Θα τυπώσει την έκδοση και, από κάτω, την ημερομηνία της λίστας με τις γνωστές τρύπες. Για να το φωνάζεις από οπουδήποτε, χωρίς να αλλάζεις φάκελο κάθε φορά, πρόσθεσε τον φάκελο στη μεταβλητή PATH των Windows. Δεν χρειάστηκε δικαιώματα διαχειριστή σε κανένα από τα βήματα.

Πού τρέχεις τις εντολές: μέσα στον φάκελο του έργου σου. Η τελεία στο τέλος των εντολών σημαίνει «εδώ που στέκομαι», δηλαδή τον φάκελο στον οποίο βρίσκεσαι.

Δεύτερη διαδρομή: ο διαχειριστής πακέτων των Windows

Αν προτιμάς να το κρατάει και να το ενημερώνει το σύστημα, υπάρχει και το winget:

winget install --id AquaSecurity.Trivy -e

Μία προσοχή, μετρημένη: το winget δίνει μία διόρθωση πίσω. Η εντολή winget show --id AquaSecurity.Trivy -e δηλώνει 0.76.1, ενώ από το zip των εκδόσεων παίρνεις 0.76.2. Η διαδρομή με το zip είναι πιο καθαρή αν θέλεις την τρέχουσα έκδοση· η διαδρομή με το winget είναι πιο άνετη αν θέλεις να μη σκέφτεσαι ξανά την αναβάθμιση.

Χρήση σε κάθε LLM

Εδώ χρειάζεται μία διόρθωση προσδοκίας, γιατί πολλοί βοηθοί διαφημίζουν σήμερα κάθε εργαλείο ως διακομιστή εργαλείων. Το Trivy δεν είναι διακομιστής εργαλείων και δεν έχει πρωτόκολλο MCP. Δεν χρειάζεται να το δηλώσεις πουθενά, δεν φορτώνει τίποτα στη συνεδρία σου πριν του μιλήσεις, δεν συντηρείς γι’ αυτό καμία ρύθμιση. Είναι πρόγραμμα που το φωνάζει ο βοηθός από το κέλυφος την ώρα που το χρειάζεται, και του γυρίζει απάντηση που μπορεί και να τη διαβάσει.

Οι τρεις εντολές που χρειάζεται στην πράξη ένας βοηθός είναι αυτές:

trivy fs --scanners vuln --format json .

trivy config .

trivy fs --format json --output trivy.json .

Η πρώτη σαρώνει τις βιβλιοθήκες του φακέλου και γυρίζει τη λίστα σε μορφή που διαβάζει μηχάνημα, ώστε ο βοηθός να ξέρει ποια βιβλιοθήκη και ποια έκδοση έχει το πρόβλημα. Η δεύτερη ελέγχει τις ρυθμίσεις, για παράδειγμα ένα Dockerfile, πριν το ανεβάσεις. Η τρίτη γράφει το αποτέλεσμα σε αρχείο, χρήσιμο όταν το κείμενο είναι μεγάλο και δεν χωρά στο παράθυρο.

Claude Code

Δεν υπάρχει τίποτα να εγκαταστήσεις μέσα στο Claude Code. Του ζητάς τη δουλειά με λόγια και εκείνο τρέχει την εντολή στο κέλυφος. Κάτι σαν: «Τρέξε trivy fs --scanners vuln --format json . στον φάκελο του έργου, διάβασε τα ευρήματα και διόρθωσε τις εκδόσεις που έχουν γνωστές τρύπες». Εκείνο θα τρέξει την εντολή, θα δει το JSON, θα ανοίξει τα αρχεία με τις εξαρτήσεις και θα προτείνει αλλαγές. Πριν ανεβάσεις ένα Dockerfile, του λες να τρέξει trivy config . και να διορθώσει ό,τι βρει, με σειρά σοβαρότητας.

Codex CLI

Ίδια λογική, γιατί μιλάς σε έναν βοηθό που έχει κέλυφος. Του δίνεις την εντολή ως μέρος της δουλειάς — «τρέξε trivy fs --scanners vuln --format json . και φτιάξε ό,τι είναι κρίσιμο ή υψηλό» — και εκτελεί, διαβάζει, γράφει. Επειδή το Codex δουλεύει συχνά πάνω σε αποθετήριο, ο έλεγχος των βιβλιοθηκών ταιριάζει ακριβώς: το αρχείο κλειδώματος εκδόσεων είναι μέσα στο αποθετήριο, άρα η σάρωση βλέπει πραγματικές εκδόσεις και όχι ευχές.

Cursor

Στον επεξεργαστή, το τερματικό είναι ενσωματωμένο. Ανοίγεις το πλαίσιο του τερματικού, τρέχεις την ίδια εντολή με το χέρι αν θέλεις να δεις μόνος σου την απάντηση, ή ζητάς από τον βοηθό να την τρέξει και να σου φέρει μόνο τα κρίσιμα. Σε κάθε περίπτωση δεν δηλώνεις τίποτα σε κάποιο αρχείο ρυθμίσεων: το πρόγραμμα είναι ήδη στον δίσκο σου και το μόνο που χρειάζεται είναι να είναι γνωστό στο PATH.

Πού κερδίζει, πού χάνει

Κερδίζει πρώτα στο βάρος της εγκατάστασης. Ένα αρχείο, χωρίς πλατφόρμα εκτέλεσης, χωρίς εξαρτήματα, χωρίς λογαριασμό. Στα Windows αυτό δεν είναι λεπτομέρεια: είναι η διαφορά ανάμεσα στο «θα το στήσω κάποια στιγμή» και στο «το έστησα σε δύο λεπτά».

Κερδίζει στο ότι κάνει τρεις διαφορετικές δουλειές με το ίδιο πρόγραμμα. Βιβλιοθήκες, ρυθμίσεις, κλειδιά. Συνήθως αυτά θέλουν τρία ξεχωριστά εργαλεία, με τρεις τρόπους εγκατάστασης και τρεις μορφές απάντησης.

Κερδίζει στην ταχύτητα, αφού η λίστα με τις γνωστές τρύπες έχει κατέβει. Και κερδίζει στο ότι ο έλεγχος των ρυθμίσεων δεν θέλει ούτε δίκτυο ούτε λίστα: δουλεύει και κλειστά, κάτι που έχει σημασία όταν το περιβάλλον σου δεν βγαίνει στο διαδίκτυο.

Χάνει στο πρώτο τρέξιμο. Η λίστα με τις γνωστές τρύπες δεν έρχεται μαζί με το πρόγραμμα· κατεβαίνει την πρώτη φορά που θα σαρώσεις βιβλιοθήκες, και είναι βαριά. Είναι ο λόγος που η πρώτη σάρωση δεν είναι στιγμιαία ενώ οι επόμενες είναι σχεδόν ακαριαίες.

Χάνει όταν λείπει το αρχείο κλειδώματος εκδόσεων. Χωρίς αυτό, δεν έχει τι να συγκρίνει και σου λέει ότι δεν σάρωσε. Αυτό είναι πιο ειλικρινές από το να σου πει ψεύτικα «καθαρό», αλλά σημαίνει ότι σε παλιά έργα, όπου κανείς δεν κλείδωσε ποτέ τις εκδόσεις, θα πρέπει πρώτα να φτιάξεις αυτό το αρχείο.

Χάνει στο μέγεθος: το ίδιο το εκτελέσιμο είναι μεγάλο, και ο δίσκος που θα φιλοξενήσει τη λίστα θέλει πολύ περισσότερο χώρο. Και χάνει, όπως όλα τα εργαλεία της κατηγορίας, στο ότι βλέπει μόνο γνωστά και δηλωμένα προβλήματα: μια τρύπα που κανείς δεν έχει καταγράψει ακόμη, ή ένα δικό σου λάθος στη λογική, δεν θα το δεις ποτέ σε αυτή την απάντηση.

Δοκιμή

Κατέβασα από τη σελίδα της έκδοσης το επίσημο αρχείο για Windows, v0.76.2, μέγεθος 51,4 MB (53.905.616 bytes), το ξεζίπαρα σε δικό μου φάκελο και το έτρεξα. Πρώτα η ταυτότητα:

trivy --version

Η απάντηση ήταν Version: 0.76.2, και από κάτω η ημερομηνία της βάσης με τις γνωστές τρύπες. Δηλαδή το zip των εκδόσεων δίνει πράγματι τη νεότερη έκδοση, όπως υποσχόμαστε πιο πάνω.

Μετά έφτιαξα έναν φάκελο με σκόπιμα λάθη: ένα Dockerfile που ξεκινούσε από FROM node:latest, δεν όριζε χρήστη για την εκτέλεση, και δεν είχε κανέναν έλεγχο υγείας της υπηρεσίας. Έτρεξα:

trivy config .

Βρήκε ακριβώς 3 ευρήματα, και τα τρία σωστά: DS-0001, μεσαίο — η εικόνα node:latest δεν είναι κλειδωμένη σε συγκεκριμένη έκδοση, άρα κάθε φορά που χτίζεται το πακέτο κατεβάζει ό,τι τύχει. DS-0002, υψηλό — το πρόγραμμα θα τρέξει ως διαχειριστής μέσα στο περιβάλλον του, ενώ θα έπρεπε να τρέξει ως απλός χρήστης. DS-0026, χαμηλό — λείπει ο έλεγχος υγείας. Και το πιο σημαντικό: δούλεψε χωρίς λογαριασμό, χωρίς βάση δεδομένων και χωρίς σύνδεση στο διαδίκτυο. Ο έλεγχος ρυθμίσεων είναι αυτόνομος, όπως λέει και το όνομα της κατηγορίας.

Μετά δοκίμασα την περίπτωση όπου ένα εργαλείο τέτοιου είδους συνήθως παραπλανά. Έφτιαξα φάκελο που περιείχε μόνο ένα αρχείο package.json — τη δήλωση δηλαδή των βιβλιοθηκών που θέλω, χωρίς τις εκδόσεις τους κλειδωμένες πουθενά. Έτρεξα:

trivy fs --scanners vuln .

Η απάντηση ήταν ένας άδειος πίνακας με τη λέξη «Not scanned». Δηλαδή: δεν σου λέει «όλα καλά». Σου λέει «δεν κοίταξα». Αυτό είναι η διαφορά που αξίζει το εργαλείο ολόκληρο.

Πρόσθεσα ένα αρχείο κλειδώματος εκδόσεων — το αρχείο που καταγράφει την ακριβή έκδοση κάθε βιβλιοθήκης που κατέβηκε — και ξανάτρεξα την ίδια εντολή. Αυτή τη φορά γύρισε 9 ευρήματα σε λιγότερο από ένα δευτερόλεπτο, από τα οποία 1 κρίσιμο και 4 υψηλά, για τη βιβλιοθήκη lodash στην έκδοση 4.17.4. Ίδιος φάκελος, ίδια εντολή, τελείως διαφορετική απάντηση, μόνο και μόνο επειδή υπήρχε πλέον καταγραφή των εκδόσεων.

Και ο χρόνος, όπως είναι στην πραγματικότητα: η πρώτη σάρωση βιβλιοθηκών αργεί, γιατί κατεβάζει τη λίστα με τις γνωστές τρύπες. Με τη λίστα ζεστή, οι επόμενες σαρώσεις είναι σχεδόν στιγμιαίες, και ο έλεγχος ρυθμίσεων ήταν ακαριαίος από την πρώτη φορά.

Δεν δοκίμασα τίποτα άλλο. Όσα ακολουθούν για πακέτα λογισμικού, συστοιχίες πολλών μηχανών και λίστες συστατικών είναι δυνατότητες του εργαλείου όπως τις δηλώνει ο κατασκευαστής του, όχι δικές μας μετρήσεις. Τα τρία νούμερα που μετρήσαμε — 3 ευρήματα στις ρυθμίσεις, «δεν σάρωσε» χωρίς καταγραφή εκδόσεων, 9 ευρήματα με αυτήν — είναι τα μόνα που βάζουμε στο τραπέζι.

Τι κοστίζει

Το εργαλείο. Μηδέν χρήματα. Το Trivy είναι ανοιχτού κώδικα με άδεια Apache-2.0 και δεν θέλει συνδρομή, ούτε κλειδί, ούτε λογαριασμό. Το πραγματικό κόστος είναι χώρος στον δίσκο.

Το πλαίσιο. Δεν είναι διακομιστής MCP, οπότε δεν φορτώνει σχήματα εργαλείων σε κάθε συνεδρία: ο φόρος του σε tokens πριν γράψεις λέξη είναι μηδέν, και δεν χρειάζεται να το δηλώσεις πουθενά. Το βάρος του είναι το ίδιο το πρόγραμμα: 51,4 MB το αρχείο λήψης για Windows και 171,6 MiB το εκτελέσιμο μετά την αποσυμπίεση — ένα στατικό εκτελέσιμο, χωρίς GPU και χωρίς τοπικό μοντέλο.

Ο δίσκος. Η βάση ευπαθειών που κατεβάζει στην πρώτη σάρωση πιάνει 1,6 GB (trivy.db, μετρημένο σε 1.675.390.976 bytes κάτω από τον φάκελο %LOCALAPPDATA%\trivy\db). Αυτό είναι το πραγματικό βάρος του εργαλείου, όχι το μέγεθος του αρχείου λήψης, και είναι ο λόγος που δεν το βάζεις σε έναν δίσκο που στενεύει.

Η δουλειά. Δεν πληρώνεις ανά σάρωση: το πρόγραμμα τρέχει τοπικά, πάνω στα δικά σου αρχεία, χωρίς να στέλνει τίποτα σε υπηρεσία. Το κόστος σε χρόνο το μετρήσαμε: ο έλεγχος ρυθμίσεων είναι ακαριαίος, η πρώτη σάρωση ευπαθειών αργεί όσο ένα κατέβασμα βάσης, οι επόμενες είναι κάτω από ένα δευτερόλεπτο.

Ετυμηγορία

Αξίζει, και αξίζει για έναν λόγο που δεν φαίνεται στη λίστα των δυνατοτήτων: επειδή σου λέει την αλήθεια και όταν δεν ξέρει. Ένα εργαλείο ασφάλειας που απαντά «καθαρό» όταν στην πραγματικότητα δεν κοίταξε, είναι χειρότερο από καθόλου εργαλείο — σου δίνει ησυχία που δεν αγόρασες. Το Trivy, μετρημένο, διαλέγει να πει ότι δεν σάρωσε.

Στα συν, με σειρά σημασίας: ένα αρχείο χωρίς πλατφόρμα εκτέλεσης, τρεις έλεγχοι σε ένα πρόγραμμα, απάντηση που τη διαβάζει μηχάνημα, ζωντανό έργο με έκδοση κάθε δύο με τρεις εβδομάδες, και μηδενικό κόστος. Στα πλην: η λίστα με τις γνωστές τρύπες πιάνει 1,6 GB στον δίσκο, δεν σαρώνει χωρίς αρχείο κλειδώματος εκδόσεων, και δεν βλέπει τίποτα πέρα από γνωστά προβλήματα δηλωμένων εκδόσεων.

Πού ταιριάζει καλύτερα στην πράξη: ως φρένο πριν από κάθε παράδοση. Τρέξε το, δες τι λέει, διόρθωσε τα κρίσιμα, άφησε τα υπόλοιπα για αύριο. Και αν δουλεύεις με βοηθό τεχνητής νοημοσύνης, δώσ’ του την εντολή με μορφή JSON και άστο να κάνει τη βαρετή δουλειά.

Πηγές:

https://github.com/aquasecurity/trivy

https://github.com/aquasecurity/trivy/releases/tag/v0.76.2

https://trivy.dev/docs/latest/getting-started/installation/