¿Qué es Trivy?
Trivy es un único binario en Go que busca problemas de seguridad en lo que publicas. Sus objetivos son imágenes de contenedor, sistemas de archivos, repositorios Git remotos, imágenes de máquina virtual y clústeres de Kubernetes; sus escáneres encuentran vulnerabilidades conocidas (CVE) en paquetes del sistema y dependencias de lenguaje, configuraciones erróneas en Terraform, Dockerfiles, charts de Helm y manifiestos de Kubernetes, secretos escritos en el código y licencias de software, y genera SBOM.
Nada en él es específico de la IA, pero una pila de IA es sobre todo software corriente: una imagen de servicio de modelos construida sobre CUDA y Python, un archivo de requisitos con cientos de paquetes y el Terraform o Helm que lo despliega. Trivy analiza los tres con la misma línea de comandos, y su escáner de secretos tiene una regla para los tokens de acceso de Hugging Face. Un plugin aparte, trivy-mcp, ejecuta Trivy como servidor MCP para que un agente de programación pueda pedir un análisis.
Trivy usa la licencia Apache-2.0 y lo mantiene Aqua Security, que vende una plataforma comercial construida sobre un fork. Entre sus integraciones hay una GitHub Action oficial (trivy-action), un operador de Kubernetes y una extensión de VS Code.
¿Merece la pena Trivy?
Trivy es el escáner gratuito más amplio para las partes de un sistema de IA que no son el modelo: un solo binario cubre los CVE de una imagen de vLLM o PyTorch, los paquetes vulnerables de un lockfile de Python, un bucket de S3 que quedó público en Terraform y una clave de API subida por error. Unas 39.100 estrellas en GitHub y una versión cada pocas semanas (la v0.76.2 salió el 5 de noviembre de 2026) lo convierten en el estándar de muchos pipelines de CI, y su salida en JSON, SARIF y CycloneDX alimenta la mayoría de los paneles.
En trabajo de IA, el hábito útil es analizar la imagen de servicio, no solo tu código. Las imágenes base para GPU son grandes y esconden paquetes antiguos, y Trivy los informa por capa. No inspecciona los pesos del modelo en busca de exploits de pickle, no prueba prompts ni evalúa un agente; de eso se encargan garak, PyRIT y los escáneres de skills. El plugin trivy-mcp permite que Claude Desktop, Cursor o VS Code pidan en lenguaje natural un análisis de un sistema de archivos, una imagen o un repositorio, pero es pequeño (58 estrellas), no ha publicado versión desde la v0.0.20 del 17 de diciembre de 2025 y, con una clave de Aqua, envía los resultados a la plataforma de Aqua.
La pega: Trivy fue la puerta de entrada de la campaña de TeamPCP que después alcanzó a LiteLLM. Según el aviso de Aqua (CVE-2026-33634), los atacantes que habían obtenido un token privilegiado a finales de febrero conservaron el acceso porque la rotación de credenciales tras la divulgación del 1 de marzo no fue atómica. El 19 de marzo de 2026 publicaron un Trivy v0.69.4 malicioso, disponible unas 3 horas en GitHub, GHCR, ECR Public, Docker Hub y los repositorios deb y rpm; forzaron 76 de las 77 etiquetas de trivy-action (unas 12 horas) y las 7 etiquetas de setup-trivy (unas 4 horas) hacia código que volcaba la memoria del runner de CI y enviaba los secretos a un dominio de imitación; y el 22 de marzo subieron a Docker Hub las imágenes 0.69.5 y 0.69.6 con credenciales robadas por separado, disponibles unas 10 horas. El código malicioso nunca llegó a la rama principal de Trivy. LiteLLM afirma que el token de PyPI usado para envenenar sus versiones el 24 de marzo se obtuvo a través de Trivy en su propio pipeline de CI.
Aqua eliminó los artefactos, volvió a publicar las etiquetas de trivy-action con el prefijo v apuntando a los commits originales, restauró la etiqueta latest de Docker Hub a 0.69.3, publicó indicadores de compromiso y comprobaciones de firma, y contrató a la firma de respuesta a incidentes Sygnia; afirma que su plataforma comercial, que se construye desde un fork separado, no se vio afectada. El consejo que se desprende es la regla general para herramientas de seguridad en CI: fijar las actions a SHA de commit completos y las imágenes a digests, y tratar un escáner como código que puede leer todos los secretos del job.
Nuestra opinión: un escáner se gana su sitio siendo aburrido, y Trivy lo es en el buen sentido: rápido, amplio y gratuito. Grype y Snyk cubren un terreno parecido, y el incidente de marzo es un argumento para fijar versiones, no para cambiar de herramienta.
Dónde se gana su sitio
Un ingeniero de plataforma de ML que ejecuta vLLM en Kubernetes
Saber qué CVE hay en la imagen de servicio antes de que llegue al clúster
Ejecuta trivy image sobre la imagen construida en CI, haz fallar el pipeline con HIGH y CRITICAL que tengan corrección y sube el SARIF a GitHub code scanning. Gratuito; la base de datos de vulnerabilidades se descarga en cada ejecución salvo que la cachees.
Una startup de dos personas que lanza una app RAG en AWS
Detectar un bucket público o un security group abierto antes de que Terraform lo aplique
trivy config sobre la carpeta de Terraform señala configuraciones erróneas en segundos y trivy fs --scanners secret busca claves subidas al repositorio, incluidos los tokens de Hugging Face. No hace falta cuenta ni licencia.
Un responsable de seguridad tras el incidente de marzo de 2026
Mantener Trivy en CI sin volver a confiar en etiquetas mutables
Fija trivy-action a un SHA de commit completo y la imagen a un digest, verifica las firmas de las versiones con cosign como muestra el aviso de Aqua y rota cualquier secreto que un pipeline expusiera el 19 y 20 de marzo de 2026.
Antes de decidirte
- Puesta en marcha
- brew install trivy, docker run aquasec/trivy o un binario de la página de versiones; después trivy image python:3.12 devuelve un informe en cuanto la base de datos de vulnerabilidades se ha descargado en la primera ejecución.
- Integraciones
- GitHub Action (trivy-action), setup-trivy, operador de Kubernetes, extensión de VS Code, salida SARIF y CycloneDX; el plugin trivy-mcp sirve MCP por stdio por defecto o por HTTP en el puerto 23456 de localhost.
- Datos y privacidad
- Se ejecuta en local y por defecto no envía resultados de análisis a ningún sitio, pero la telemetría de uso anónima (un ID de instalación con hash, versión, sistema operativo y flags no reveladores) está activa hasta que pasas --disable-telemetry, y contacta con check.trivy.dev para buscar actualizaciones salvo que añadas --skip-version-check. El plugin MCP envía resultados a Aqua solo con --use-aqua-platform y una clave guardada.
- Coste a escala
- Gratuito a cualquier escala; los costes reales son los minutos de CI y las descargas de la base de datos, que los equipos suelen cachear o replicar. La plataforma comercial de Aqua tiene precio bajo petición.
- Límites
- 307 issues y pull requests abiertos; los hallazgos solo son tan actuales como la base de datos descargada; no analiza pesos de modelos, notebooks en busca de cargas pickle, prompts ni herramientas de agentes.
Lo bueno
- Un binario para CVE, IaC, secretos, licencias y SBOM
- Analiza por igual imágenes de servicio de modelos, lockfiles y Helm o Terraform
- Salida SARIF, JSON y CycloneDX para CI y paneles
- Versiones frecuentes y licencia Apache-2.0
Lo malo
- Su versión y su GitHub Action se vieron comprometidas en marzo de 2026
- Nada para archivos de modelo, prompts o comportamiento de agentes
- La telemetría de uso anónima viene activada por defecto
- El plugin trivy-mcp es pequeño y no publica versión desde diciembre de 2025
Ideal para
Ingenieros de plataforma y de ML que quieren una comprobación gratuita en cada imagen, archivo de dependencias y cambio de IaC que despliega un servicio de IA.
Alternativas a Trivy
Trivy: preguntas frecuentes
- ¿Merece la pena Trivy?
- Trivy sigue siendo el escáner gratuito que la mayoría de los equipos de IA deberían poner delante de sus imágenes e IaC, siempre que lo fijen por digest y recuerden que en marzo de 2026 el propio escáner fue el ataque. Le damos un 4.3 sobre 5.
- ¿Cuánto cuesta Trivy?
- Gratuito y de código abierto bajo Apache-2.0. Aqua Security vende una plataforma comercial basada en Trivy, con precio bajo petición; el plugin trivy-mcp es gratuito bajo MIT.
- ¿Qué inconvenientes tiene Trivy?
- Su versión y su GitHub Action se vieron comprometidas en marzo de 2026; nada para archivos de modelo, prompts o comportamiento de agentes; la telemetría de uso anónima viene activada por defecto; el plugin trivy-mcp es pequeño y no publica versión desde diciembre de 2025.
- ¿Para quién es Trivy?
- Ingenieros de plataforma y de ML que quieren una comprobación gratuita en cada imagen, archivo de dependencias y cambio de IaC que despliega un servicio de IA.
- ¿Cuánto cuesta Trivy para un equipo o en producción?
- Gratuito a cualquier escala; los costes reales son los minutos de CI y las descargas de la base de datos, que los equipos suelen cachear o replicar. La plataforma comercial de Aqua tiene precio bajo petición.
- ¿Es Trivy seguro para los datos de la empresa?
- Se ejecuta en local y por defecto no envía resultados de análisis a ningún sitio, pero la telemetría de uso anónima (un ID de instalación con hash, versión, sistema operativo y flags no reveladores) está activa hasta que pasas --disable-telemetry, y contacta con check.trivy.dev para buscar actualizaciones salvo que añadas --skip-version-check. El plugin MCP envía resultados a Aqua solo con --use-aqua-platform y una clave guardada.
- ¿Cuáles son las mejores alternativas a Trivy?
- Las alternativas más cercanas que hemos analizado son Snyk Agent Scan, Cisco Skill Scanner y garak.
Respuestas comprobadas el 7 nov 2026.
¿Desarrollas Trivy? Muestra esta nota en tu web
