Was ist Trivy?
Trivy ist ein einzelnes Go-Binary, das in dem, was du auslieferst, nach Sicherheitsproblemen sucht. Ziele sind Container-Images, Dateisysteme, entfernte Git-Repositories, VM-Images und Kubernetes-Cluster; die Scanner finden bekannte Schwachstellen (CVEs) in Betriebssystempaketen und Sprachabhängigkeiten, Fehlkonfigurationen in Terraform, Dockerfiles, Helm-Charts und Kubernetes-Manifesten, fest eingetragene Secrets und Softwarelizenzen, und es erzeugt SBOMs.
Nichts daran ist KI-spezifisch, aber ein KI-Stack besteht größtenteils aus gewöhnlicher Software: ein Image für das Model-Serving auf Basis von CUDA und Python, eine Requirements-Datei mit Hunderten Paketen und das Terraform oder Helm, das alles ausrollt. Trivy prüft alle drei mit derselben Kommandozeile, und sein Secret-Scanner hat eine Regel für Hugging-Face-Zugriffstoken. Ein separates Plugin, trivy-mcp, startet Trivy als MCP-Server, sodass ein Coding-Agent einen Scan anfordern kann.
Trivy steht unter Apache-2.0 und wird von Aqua Security gepflegt, das eine kommerzielle Plattform auf Basis eines Forks verkauft. Zu den Integrationen gehören eine offizielle GitHub Action (trivy-action), ein Kubernetes-Operator und eine VS-Code-Erweiterung.
Lohnt sich Trivy?
Trivy ist der breiteste kostenlose Scanner für die Teile eines KI-Systems, die nicht das Modell sind: Ein Binary deckt CVEs in einem vLLM- oder PyTorch-Image ab, verwundbare Pakete in einem Python-Lockfile, einen in Terraform öffentlich gelassenen S3-Bucket und einen versehentlich eingecheckten API-Schlüssel. Rund 39.100 GitHub-Sterne und ein Release alle paar Wochen (v0.76.2 erschien am 5. November 2026) machen ihn in vielen CI-Pipelines zum Standard, und seine Ausgabe in JSON, SARIF und CycloneDX speist die meisten Dashboards.
Für KI-Arbeit lohnt die Gewohnheit, das Serving-Image zu scannen, nicht nur den eigenen Code. GPU-Basis-Images sind groß, und in ihnen verstecken sich alte Pakete; Trivy meldet sie nach Layer. Es untersucht keine Modellgewichte auf Pickle-Exploits, testet keine Prompts und bewertet keine Agenten; das übernehmen garak, PyRIT und die Skill-Scanner. Mit dem Plugin trivy-mcp können Claude Desktop, Cursor oder VS Code in natürlicher Sprache einen Scan eines Dateisystems, Images oder Repositories anfordern, aber es ist klein (58 Sterne), hat seit v0.0.20 am 17. Dezember 2025 kein Release mehr erhalten und schickt Ergebnisse mit einem Aqua-Schlüssel an Aquas Plattform.
Der Haken: Trivy war das Einfallstor der TeamPCP-Kampagne, die später LiteLLM traf. Laut Aquas Advisory (CVE-2026-33634) behielten die Angreifer, die Ende Februar ein privilegiertes Token erlangt hatten, ihren Zugang, weil die Rotation der Zugangsdaten nach der Offenlegung am 1. März nicht atomar war. Am 19. März 2026 veröffentlichten sie ein bösartiges Trivy v0.69.4, das rund 3 Stunden auf GitHub, GHCR, ECR Public, Docker Hub und in den deb- und rpm-Repositories verfügbar war; sie setzten per Force-Push 76 von 77 Tags von trivy-action (rund 12 Stunden) und alle 7 Tags von setup-trivy (rund 4 Stunden) auf Code, der den Speicher des CI-Runners auslas und Secrets an eine nachgeahmte Domain schickte; und am 22. März luden sie mit separat gestohlenen Zugangsdaten die Images 0.69.5 und 0.69.6 auf Docker Hub, die rund 10 Stunden verfügbar waren. Der Schadcode gelangte nie in Trivys Hauptbranch. LiteLLM gibt an, dass das PyPI-Token, mit dem am 24. März seine Releases vergiftet wurden, über Trivy in seiner eigenen CI-Pipeline abgegriffen wurde.
Aqua entfernte die Artefakte, veröffentlichte die trivy-action-Tags mit einem v-Präfix neu, die auf die ursprünglichen Commits zeigen, setzte den latest-Tag auf Docker Hub auf 0.69.3 zurück, veröffentlichte Kompromittierungsindikatoren und Signaturprüfungen und zog die Incident-Response-Firma Sygnia hinzu; nach eigener Aussage war die kommerzielle Plattform, die aus einem separaten Fork gebaut wird, nicht betroffen. Daraus folgt die allgemeine Regel für Sicherheitswerkzeuge in CI: Actions auf vollständige Commit-SHAs und Images auf Digests pinnen und einen Scanner als Code behandeln, der jedes Secret im Job lesen kann.
Unser Fazit: Ein Scanner verdient seinen Platz, indem er langweilig ist, und Trivy ist auf die richtige Art langweilig: schnell, breit und kostenlos. Grype und Snyk decken Ähnliches ab, und der Vorfall im März spricht für das Pinnen, nicht für einen Wechsel.
Wo es sich lohnt
Ein ML-Plattform-Engineer, der vLLM auf Kubernetes betreibt
Wissen, welche CVEs im Serving-Image stecken, bevor es den Cluster erreicht
In CI trivy image auf das gebaute Image laufen lassen, bei HIGH und CRITICAL mit verfügbarem Fix abbrechen und SARIF in GitHub Code Scanning hochladen. Kostenlos; die Schwachstellendatenbank wird bei jedem Lauf geladen, sofern du sie nicht cachst.
Ein Zwei-Personen-Start-up, das eine RAG-App auf AWS ausliefert
Einen öffentlichen Bucket oder eine offene Security Group abfangen, bevor Terraform sie anwendet
trivy config auf den Terraform-Ordner meldet Fehlkonfigurationen in Sekunden, und trivy fs --scanners secret sucht nach eingecheckten Schlüsseln, auch Hugging-Face-Token. Weder Konto noch Lizenz nötig.
Ein Head of Security nach dem Vorfall im März 2026
Trivy in CI behalten, ohne wieder veränderlichen Tags zu vertrauen
trivy-action auf einen vollständigen Commit-SHA und das Image auf einen Digest pinnen, Release-Signaturen mit cosign prüfen, wie Aquas Advisory zeigt, und jedes Secret rotieren, das eine Pipeline am 19. und 20. März 2026 offengelegt hat.
Bevor du dich festlegst
- Einrichtung
- brew install trivy, docker run aquasec/trivy oder ein Release-Binary; danach liefert trivy image python:3.12 einen Bericht, sobald die Schwachstellendatenbank beim ersten Lauf geladen ist.
- Integrationen
- GitHub Action (trivy-action), setup-trivy, Kubernetes-Operator, VS-Code-Erweiterung, SARIF- und CycloneDX-Ausgabe; das Plugin trivy-mcp stellt MCP standardmäßig über stdio bereit oder über HTTP auf localhost, Port 23456.
- Daten und Datenschutz
- Läuft lokal und schickt standardmäßig keine Scan-Ergebnisse irgendwohin, aber anonyme Nutzungstelemetrie (eine gehashte Installations-ID, Version, Betriebssystem und unverfängliche Flags) ist aktiv, bis du --disable-telemetry setzt, und es kontaktiert check.trivy.dev für Updates, sofern du nicht --skip-version-check ergänzt. Das MCP-Plugin schickt Ergebnisse nur mit --use-aqua-platform und gespeichertem Schlüssel an Aqua.
- Kosten im großen Maßstab
- In jeder Größenordnung kostenlos; die echten Kosten sind CI-Minuten und Datenbank-Downloads, die Teams meist cachen oder spiegeln. Aquas kommerzielle Plattform hat einen Preis auf Anfrage.
- Grenzen
- 307 offene Issues und Pull Requests; Befunde sind nur so aktuell wie die geladene Datenbank; kein Scan von Modellgewichten, Notebooks auf Pickle-Payloads, Prompts oder Agenten-Tools.
Was gut ist
- Ein Binary für CVEs, IaC, Secrets, Lizenzen und SBOMs
- Scannt Model-Serving-Images, Lockfiles und Helm oder Terraform gleichermaßen
- SARIF-, JSON- und CycloneDX-Ausgabe für CI und Dashboards
- Häufige Releases und Apache-2.0-Lizenz
Was nicht
- Release und GitHub Action wurden im März 2026 kompromittiert
- Nichts für Modelldateien, Prompts oder Agentenverhalten
- Anonyme Nutzungstelemetrie ist standardmäßig an
- Plugin trivy-mcp klein und seit Dezember 2025 ohne Release
Am besten für
Plattform- und ML-Engineers, die eine kostenlose Prüfung für jedes Image, jede Abhängigkeitsdatei und jede IaC-Änderung wollen, mit der ein KI-Dienst ausgeliefert wird.
Alternativen zu Trivy
Trivy: häufige Fragen
- Lohnt sich Trivy?
- Trivy bleibt der kostenlose Scanner, den die meisten KI-Teams vor ihre Images und ihr IaC setzen sollten, solange sie ihn per Digest pinnen und daran denken, dass im März 2026 der Scanner selbst der Angriff war. Wir bewerten es mit 4.3 von 5.
- Was kostet Trivy?
- Kostenlos und Open Source unter Apache-2.0. Aqua Security verkauft eine kommerzielle Plattform auf Basis von Trivy, Preis auf Anfrage; das Plugin trivy-mcp ist kostenlos unter MIT.
- Welche Nachteile hat Trivy?
- Release und GitHub Action wurden im März 2026 kompromittiert; Nichts für Modelldateien, Prompts oder Agentenverhalten; Anonyme Nutzungstelemetrie ist standardmäßig an; Plugin trivy-mcp klein und seit Dezember 2025 ohne Release.
- Für wen eignet sich Trivy?
- Plattform- und ML-Engineers, die eine kostenlose Prüfung für jedes Image, jede Abhängigkeitsdatei und jede IaC-Änderung wollen, mit der ein KI-Dienst ausgeliefert wird.
- Was kostet Trivy für ein Team oder im Produktivbetrieb?
- In jeder Größenordnung kostenlos; die echten Kosten sind CI-Minuten und Datenbank-Downloads, die Teams meist cachen oder spiegeln. Aquas kommerzielle Plattform hat einen Preis auf Anfrage.
- Ist Trivy sicher für Firmendaten?
- Läuft lokal und schickt standardmäßig keine Scan-Ergebnisse irgendwohin, aber anonyme Nutzungstelemetrie (eine gehashte Installations-ID, Version, Betriebssystem und unverfängliche Flags) ist aktiv, bis du --disable-telemetry setzt, und es kontaktiert check.trivy.dev für Updates, sofern du nicht --skip-version-check ergänzt. Das MCP-Plugin schickt Ergebnisse nur mit --use-aqua-platform und gespeichertem Schlüssel an Aqua.
- Was sind die besten Alternativen zu Trivy?
- Die nächsten Alternativen, die wir getestet haben, sind Snyk Agent Scan, Cisco Skill Scanner und garak.
Antworten geprüft am 7. Nov. 2026.
Du entwickelst Trivy? Zeig diese Bewertung auf deiner Website
