Trivy
aquasecurity/trivyRevisado por IA
O que faz
Trivy é um verificador que você usa digitando comandos. Ele analisa imagens de containers, pastas de código, repositórios Git, imagens de máquina virtual e clusters Kubernetes em busca de vulnerabilidades conhecidas, configurações arriscadas, segredos expostos como senhas ou chaves, e licenças de software, além de poder listar cada componente presente (um SBOM). É voltado a desenvolvedores e equipes de TI ou de proteção. Windows, Mac e Linux recebem um programa pronto, sem nada mais para instalar. É feito pela Aqua Security, que também vende uma plataforma paga construída sobre ele.
Facilidade de instalação
B · instalador e um ajuste simples · Windows
- Windows B
- macOS B
- Linux B
No Windows, a versão publicada é um programa pronto dentro de um zip (trivy_0.76.1_windows-64bit.zip), sem outras ferramentas para instalar, mas é preciso descompactar e usá-lo digitando comandos em um terminal. Mac e Linux funcionam da mesma forma, com pacotes .deb e .rpm no Linux.
Números no GitHub
- Estrelas
- 38.882em 31 de out. de 2026
- Downloads
- 61.440.0462.635.024 na semana
- Crescimento
- +137estrelas em 5 dias
Estrelas ao longo do tempo
Fatos
- Roda em
- Windows, macOS, Linux
- Você precisa instalar
- Nada além do programa
- Para compilar a partir do código
- Docker, Go
- Espaço em disco
- 51 MB–154 MB · pelo instalador
- Contas ou chaves
- Nenhuma
- Custo
- Grátis · Gratuito (Apache-2.0). A Aqua Security vende uma plataforma comercial construída sobre o Trivy; o pacote não informa preços.
- Licença
- Apache-2.0 (Permissiva)
- Pode substituir
- Snyk, Aqua Platform
- Última atualização
- 30 de out. de 2026
Sinais de risco (3)
- AtençãoIncidente passado na cadeia de suprimentos
Incidente de 2026 na cadeia de suprimentos (reportado pela Wiz e pela Snyk): em 2026-02-28 um token da organização foi roubado, e em 2026-03-19 o grupo TeamPCP publicou binários adulterados nos releases do GitHub, no Docker Hub, no GHCR e no ECR, além de reescrever 75 das 76 tags do trivy-action. Os mantenedores já removeram os arquivos maliciosos. Baixe apenas versões publicadas após o incidente e confira os checksums e assinaturas publicados antes de usar.
revisão por IA
- InfoPromoção comercial no readme
README.md: "If you liked Trivy, you will love Aqua which builds on top of Trivy to provide even more enhanced capabilities for a complete security management offering."
revisão por IA
- InfoBuilds canary disponíveis
README.md: "There are canary builds ... generated with every push to the main branch. Please be aware: canary builds might have critical bugs, so they are not recommended for use in production."
revisão por IA
As evidências aparecem no idioma original.
O que o Radar não conseguiu verificar
- Quantos dados ele baixa na primeira execução e com que frequência (ferramentas assim costumam buscar um banco de dados de vulnerabilidades).
- Se escanear imagens de containers no Windows precisa do Docker ou de outra ferramenta de containers no seu caso.
- Quantos alarmes falsos ou problemas não detectados ele indica nos seus próprios projetos.
- Se os arquivos da versão que você baixa coincidem com os checksums e assinaturas publicados.
- Se ainda circulam cópias das versões de 2026 que foram adulteradas, em espelhos, caches ou outros canais externos.