Trivy

aquasecurity/trivyRevisado por IA

Qué hace

Trivy es un escáner que usas escribiendo comandos. Revisa imágenes de contenedores, carpetas de código, repositorios de Git, imágenes de máquinas virtuales y clústeres de Kubernetes en busca de vulnerabilidades conocidas, configuraciones riesgosas, secretos expuestos como contraseñas o claves, y licencias de software, y puede listar cada componente que hay dentro (un SBOM). Es para desarrolladores y equipos de TI o de protección. Windows, Mac y Linux reciben un programa listo para usar, sin nada más que instalar. Lo hace Aqua Security, que también vende una plataforma de pago construida sobre él.

Facilidad de instalación

B · instalador y un paso simple · Windows

Windows B
macOS B
Linux B

En Windows, la versión publicada es un programa listo dentro de un zip (trivy_0.76.1_windows-64bit.zip), sin otras herramientas que instalar, pero debes descomprimirlo y usarlo escribiendo comandos en una terminal. Mac y Linux funcionan igual, con paquetes .deb y .rpm en Linux.

Números en GitHub

Estrellas: 38.882el 31 oct 2026
Descargas: 61.440.0462.635.024 en la semana
Crecimiento: +137estrellas en 5 días

Estrellas a lo largo del tiempo

Datos

Funciona en: Windows, macOS, Linux
Necesitas instalar: Nada más que el programa
Para compilar desde el código: Docker, Go
Espacio en disco: 51 MB–154 MB · según el instalador
Cuentas o claves: Ninguna
Costo: Gratis · Gratis (Apache-2.0). Aqua Security vende una plataforma comercial construida sobre Trivy; el paquete no indica precios.
Licencia: Apache-2.0 (Permisiva)
Puede reemplazar: Snyk, Aqua Platform
Última actualización: 30 oct 2026

Señales de riesgo (3)

AtenciónIncidente pasado en la cadena de suministro
Incidente en la cadena de suministro en 2026 (reportado por Wiz y Snyk): el 2026-02-28 se robó un token de la organización y el 2026-03-19 el grupo TeamPCP publicó binarios manipulados en los releases de GitHub, Docker Hub, GHCR y ECR, y reescribió 75 de las 76 etiquetas (tags) de trivy-action. Los mantenedores ya quitaron los archivos maliciosos. Descarga solo versiones publicadas después del incidente y revisa los checksums y firmas publicados antes de usarlas.
revisión con IA
InfoPromoción comercial en el readme
README.md: "If you liked Trivy, you will love Aqua which builds on top of Trivy to provide even more enhanced capabilities for a complete security management offering."
revisión con IA
InfoCompilaciones canary disponibles
README.md: "There are canary builds ... generated with every push to the main branch. Please be aware: canary builds might have critical bugs, so they are not recommended for use in production."
revisión con IA

La evidencia aparece en su idioma original.

Lo que Radar no pudo verificar

Cuántos datos descarga la primera vez que se ejecuta y con qué frecuencia (herramientas así suelen bajar una base de datos de vulnerabilidades).
Si escanear imágenes de contenedores en Windows necesita Docker u otra herramienta de contenedores en tu caso.
Cuántas falsas alarmas o problemas no detectados reporta en tus propios proyectos.
Si los archivos de la versión que descargas coinciden con los checksums y firmas publicados.
Si todavía circulan copias de las versiones de 2026 que fueron manipuladas, en espejos, cachés u otros canales externos.