Qu’est-ce que Trivy ?
Trivy est un binaire Go unique qui cherche des problèmes de sécurité dans ce que vous livrez. Ses cibles sont les images de conteneur, les systèmes de fichiers, les dépôts Git distants, les images de machine virtuelle et les clusters Kubernetes ; ses scanners trouvent les vulnérabilités connues (CVE) dans les paquets système et les dépendances de langage, les erreurs de configuration dans Terraform, les Dockerfiles, les charts Helm et les manifestes Kubernetes, les secrets écrits en dur et les licences logicielles, et il produit des SBOM.
Rien n'y est propre à l'IA, mais une pile IA est surtout du logiciel ordinaire : une image de service de modèles construite sur CUDA et Python, un fichier de dépendances de plusieurs centaines de paquets et le Terraform ou Helm qui la déploie. Trivy analyse les trois avec la même ligne de commande, et son scanner de secrets a une règle pour les jetons d'accès Hugging Face. Un plugin distinct, trivy-mcp, fait tourner Trivy comme serveur MCP pour qu'un agent de code puisse demander une analyse.
Trivy est sous licence Apache-2.0 et maintenu par Aqua Security, qui vend une plateforme commerciale construite sur un fork. Parmi les intégrations figurent une GitHub Action officielle (trivy-action), un opérateur Kubernetes et une extension VS Code.
Trivy vaut-il le coup ?
Trivy est le scanner gratuit le plus large pour les parties d'un système d'IA qui ne sont pas le modèle : un seul binaire couvre les CVE d'une image vLLM ou PyTorch, les paquets vulnérables d'un lockfile Python, un bucket S3 laissé public dans Terraform et une clé d'API commitée par erreur. Environ 39 100 étoiles sur GitHub et une version toutes les quelques semaines (la v0.76.2 est sortie le 5 novembre 2026) en font l'outil par défaut de nombreux pipelines de CI, et ses sorties JSON, SARIF et CycloneDX alimentent la plupart des tableaux de bord.
Pour l'IA, la bonne habitude est d'analyser l'image de service, pas seulement votre code. Les images de base GPU sont volumineuses et cachent de vieux paquets, que Trivy signale couche par couche. Il n'inspecte pas les poids des modèles à la recherche d'exploits pickle, ne teste pas les prompts et n'évalue pas un agent ; c'est le rôle de garak, de PyRIT et des scanners de skills. Le plugin trivy-mcp permet à Claude Desktop, Cursor ou VS Code de demander en langage courant l'analyse d'un système de fichiers, d'une image ou d'un dépôt, mais il est modeste (58 étoiles), n'a publié aucune version depuis la v0.0.20 du 17 décembre 2025 et, avec une clé Aqua, envoie les résultats à la plateforme d'Aqua.
Le hic : Trivy a été le point d'entrée de la campagne TeamPCP qui a ensuite touché LiteLLM. Selon l'avis d'Aqua (CVE-2026-33634), les attaquants qui avaient obtenu un jeton privilégié fin février ont gardé l'accès parce que la rotation des identifiants après la divulgation du 1er mars n'était pas atomique. Le 19 mars 2026, ils ont publié un Trivy v0.69.4 malveillant, en ligne pendant environ 3 heures sur GitHub, GHCR, ECR Public, Docker Hub et les dépôts deb et rpm ; ils ont réécrit de force 76 des 77 tags de trivy-action (environ 12 heures) et les 7 tags de setup-trivy (environ 4 heures) vers du code qui vidait la mémoire du runner de CI et envoyait les secrets vers un domaine imitant celui d'Aqua ; et le 22 mars, ils ont poussé sur Docker Hub les images 0.69.5 et 0.69.6 avec des identifiants volés séparément, en ligne environ 10 heures. Le code malveillant n'a jamais atteint la branche principale de Trivy. LiteLLM indique que le jeton PyPI utilisé pour empoisonner ses versions le 24 mars a été dérobé via Trivy dans son propre pipeline de CI.
Aqua a supprimé les artefacts, republié les tags de trivy-action avec un préfixe v pointant vers les commits d'origine, rétabli le tag latest de Docker Hub sur 0.69.3, publié des indicateurs de compromission et des vérifications de signature, et fait appel à la société de réponse à incident Sygnia ; elle affirme que sa plateforme commerciale, construite à partir d'un fork séparé, n'a pas été touchée. Le conseil qui en découle est la règle générale pour les outils de sécurité en CI : épingler les actions sur des SHA de commit complets et les images sur des digests, et traiter un scanner comme du code capable de lire tous les secrets du job.
Notre avis : un scanner mérite sa place en étant ennuyeux, et Trivy l'est de la bonne manière : rapide, large et gratuit. Grype et Snyk couvrent un terrain proche, et l'incident de mars plaide pour l'épinglage, pas pour un changement d'outil.
Là où il fait la différence
Un ingénieur plateforme ML qui fait tourner vLLM sur Kubernetes
Savoir quelles CVE se trouvent dans l'image de service avant qu'elle n'atteigne le cluster
Lancez trivy image sur l'image construite en CI, faites échouer le pipeline sur les HIGH et CRITICAL corrigeables et envoyez le SARIF dans GitHub code scanning. Gratuit ; la base de vulnérabilités est téléchargée à chaque exécution si vous ne la mettez pas en cache.
Une start-up de deux personnes qui lance une application RAG sur AWS
Repérer un bucket public ou un security group ouvert avant que Terraform ne l'applique
trivy config sur le dossier Terraform signale les erreurs de configuration en quelques secondes et trivy fs --scanners secret cherche les clés commitées, y compris les jetons Hugging Face. Ni compte ni licence nécessaires.
Un responsable sécurité après l'incident de mars 2026
Garder Trivy en CI sans refaire confiance aux tags modifiables
Épinglez trivy-action sur un SHA de commit complet et l'image sur un digest, vérifiez les signatures des versions avec cosign comme le montre l'avis d'Aqua, et changez tout secret qu'un pipeline a exposé les 19 et 20 mars 2026.
Avant de vous engager
- Mise en route
- brew install trivy, docker run aquasec/trivy ou un binaire de la page des versions ; trivy image python:3.12 renvoie ensuite un rapport dès que la base de vulnérabilités a été téléchargée lors de la première exécution.
- Intégrations
- GitHub Action (trivy-action), setup-trivy, opérateur Kubernetes, extension VS Code, sorties SARIF et CycloneDX ; le plugin trivy-mcp sert MCP par stdio par défaut ou en HTTP sur le port 23456 de localhost.
- Données et confidentialité
- Tourne en local et n'envoie par défaut aucun résultat d'analyse, mais la télémétrie d'usage anonyme (un identifiant d'installation haché, la version, le système et des options non révélatrices) reste active tant que vous ne passez pas --disable-telemetry, et il contacte check.trivy.dev pour les mises à jour sauf si vous ajoutez --skip-version-check. Le plugin MCP n'envoie de résultats à Aqua qu'avec --use-aqua-platform et une clé enregistrée.
- Coût à grande échelle
- Gratuit à toute échelle ; les vrais coûts sont les minutes de CI et les téléchargements de la base, que les équipes mettent généralement en cache ou en miroir. La plateforme commerciale d'Aqua est à prix sur demande.
- Limites
- 307 issues et pull requests ouvertes ; les résultats ne sont pas plus récents que la base téléchargée ; aucune analyse des poids de modèles, des notebooks à la recherche de charges pickle, des prompts ou des outils d'agents.
Les points forts
- Un binaire pour les CVE, l'IaC, les secrets, les licences et les SBOM
- Analyse aussi bien les images de service de modèles que les lockfiles et Helm ou Terraform
- Sorties SARIF, JSON et CycloneDX pour la CI et les tableaux de bord
- Versions fréquentes et licence Apache-2.0
Les points faibles
- Sa version et sa GitHub Action ont été compromises en mars 2026
- Rien pour les fichiers de modèle, les prompts ou le comportement des agents
- Télémétrie d'usage anonyme activée par défaut
- Plugin trivy-mcp modeste et sans version depuis décembre 2025
Idéal pour
Les ingénieurs plateforme et ML qui veulent un contrôle gratuit sur chaque image, fichier de dépendances et changement d'IaC qui livre un service d'IA.
Alternatives à Trivy
Trivy : questions fréquentes
- Trivy vaut-il le coup ?
- Trivy reste le scanner gratuit que la plupart des équipes IA devraient placer devant leurs images et leur IaC, à condition de l'épingler par digest et de se souvenir qu'en mars 2026 le scanner lui-même était l'attaque. Nous lui donnons 4.3 sur 5.
- Combien coûte Trivy ?
- Gratuit et open source sous Apache-2.0. Aqua Security vend une plateforme commerciale fondée sur Trivy, à prix sur demande ; le plugin trivy-mcp est gratuit sous MIT.
- Quels sont les inconvénients de Trivy ?
- Sa version et sa GitHub Action ont été compromises en mars 2026; rien pour les fichiers de modèle, les prompts ou le comportement des agents; télémétrie d'usage anonyme activée par défaut; plugin trivy-mcp modeste et sans version depuis décembre 2025.
- À qui s’adresse Trivy ?
- Les ingénieurs plateforme et ML qui veulent un contrôle gratuit sur chaque image, fichier de dépendances et changement d'IaC qui livre un service d'IA.
- Combien coûte Trivy pour une équipe ou en production ?
- Gratuit à toute échelle ; les vrais coûts sont les minutes de CI et les téléchargements de la base, que les équipes mettent généralement en cache ou en miroir. La plateforme commerciale d'Aqua est à prix sur demande.
- Trivy est-il sûr pour les données de l’entreprise ?
- Tourne en local et n'envoie par défaut aucun résultat d'analyse, mais la télémétrie d'usage anonyme (un identifiant d'installation haché, la version, le système et des options non révélatrices) reste active tant que vous ne passez pas --disable-telemetry, et il contacte check.trivy.dev pour les mises à jour sauf si vous ajoutez --skip-version-check. Le plugin MCP n'envoie de résultats à Aqua qu'avec --use-aqua-platform et une clé enregistrée.
- Quelles sont les meilleures alternatives à Trivy ?
- Les alternatives les plus proches que nous avons testées sont Snyk Agent Scan, Cisco Skill Scanner et garak.
Réponses vérifiées le 7 nov. 2026.
Vous éditez Trivy ? Affichez cette note sur votre site
