Trivy의 개요
Trivy는 배포하는 대상에서 보안 문제를 찾는 단일 Go 바이너리입니다. 대상은 컨테이너 이미지, 파일 시스템, 원격 Git 저장소, 가상 머신 이미지, Kubernetes 클러스터입니다. 스캐너는 OS 패키지와 언어 의존성의 알려진 취약점(CVE), Terraform, Dockerfile, Helm 차트, Kubernetes 매니페스트의 설정 오류, 코드에 박힌 시크릿과 소프트웨어 라이선스를 찾고, SBOM도 생성합니다.
AI에 특화된 기능은 없지만 AI 스택의 대부분은 평범한 소프트웨어입니다. CUDA와 Python 위에 만든 모델 서빙 이미지, 수백 개 패키지가 담긴 requirements 파일, 그리고 이를 배포하는 Terraform이나 Helm입니다. Trivy는 이 셋을 같은 명령줄로 검사하며, 시크릿 스캐너에는 Hugging Face 액세스 토큰용 규칙이 있습니다. 별도 플러그인인 trivy-mcp는 Trivy를 MCP 서버로 실행해 코딩 에이전트가 스캔을 요청할 수 있게 합니다.
Trivy는 Apache-2.0 라이선스이며 Aqua Security가 유지보수합니다. Aqua는 그 포크를 기반으로 한 상용 플랫폼을 판매합니다. 공식 GitHub Action(trivy-action), Kubernetes 오퍼레이터, VS Code 확장 등과 연동됩니다.
Trivy, 쓸 만한 가치가 있습니까?
Trivy는 AI 시스템에서 모델이 아닌 부분을 검사하는 무료 스캐너 가운데 범위가 가장 넓습니다. 바이너리 하나로 vLLM이나 PyTorch 이미지의 CVE, Python 락파일의 취약한 패키지, Terraform에서 공개로 남겨진 S3 버킷, 실수로 커밋된 API 키까지 다룹니다. GitHub 스타 약 39,100개와 몇 주마다 나오는 릴리스(v0.76.2는 2026년 11월 5일 공개) 덕분에 많은 CI 파이프라인의 기본 도구이며, JSON, SARIF, CycloneDX 출력은 대부분의 대시보드에 들어갑니다.
AI 작업에서 유용한 습관은 코드만이 아니라 서빙 이미지도 스캔하는 것입니다. GPU 베이스 이미지는 크고 오래된 패키지가 숨어 있기 쉬우며, Trivy는 이를 레이어별로 보고합니다. 반면 모델 가중치의 pickle 악용 코드는 검사하지 않고, 프롬프트를 시험하거나 에이전트를 평가하지도 않습니다. 그것은 garak, PyRIT, 스킬 스캐너의 몫입니다. trivy-mcp 플러그인을 쓰면 Claude Desktop, Cursor, VS Code에서 자연어로 파일 시스템, 이미지, 저장소 스캔을 요청할 수 있습니다. 다만 규모가 작고(스타 58개), 2025년 12월 17일 v0.0.20 이후 릴리스가 없으며, Aqua 키를 쓰면 결과를 Aqua 플랫폼으로 보냅니다.
주의할 점: Trivy는 나중에 LiteLLM까지 덮친 TeamPCP 캠페인의 진입점이었습니다. Aqua의 보안 권고(CVE-2026-33634)에 따르면, 2월 말 특권 토큰을 손에 넣은 공격자들은 3월 1일 공개 이후 자격 증명 교체가 한꺼번에 이뤄지지 않은 탓에 접근 권한을 유지했습니다. 2026년 3월 19일 공격자들은 악성 Trivy v0.69.4를 배포했고, 이는 GitHub, GHCR, ECR Public, Docker Hub, deb와 rpm 저장소에서 약 3시간 동안 공개됐습니다. 또 trivy-action의 77개 태그 중 76개(약 12시간)와 setup-trivy의 7개 태그 전부(약 4시간)를 강제 푸시로 바꿔, CI 러너의 메모리를 덤프하고 시크릿을 유사 도메인으로 보내는 코드로 교체했습니다. 3월 22일에는 따로 탈취한 자격 증명으로 이미지 0.69.5와 0.69.6을 Docker Hub에 올렸고, 약 10시간 공개됐습니다. 악성 코드는 Trivy의 메인 브랜치에 들어간 적이 없습니다. LiteLLM은 3월 24일 자사 릴리스를 오염시키는 데 쓰인 PyPI 토큰이 자사 CI 파이프라인의 Trivy를 통해 탈취됐다고 밝혔습니다.
Aqua는 악성 아티팩트를 삭제하고, trivy-action 태그를 v 접두사를 붙여 원래 커밋을 가리키도록 다시 게시했 으며, Docker Hub의 latest 태그를 0.69.3으로 되돌리고, 침해 지표와 서명 확인 방법을 공개했으며, 사고 대응 업체 Sygnia를 투입했습니다. 별도 포크에서 빌드하는 상용 플랫폼은 영향을 받지 않았다고 합니다. 여기서 나오는 조언은 CI 보안 도구 전반의 원칙입니다. 액션은 전체 커밋 SHA로, 이미지는 다이제스트로 고정하고, 스캐너를 작업 안의 모든 시크릿을 읽을 수 있는 코드로 다뤄야 합니다.
결론: 스캐너는 지루할수록 제 몫을 하며, Trivy는 좋은 의미로 지루합니다. 빠르고, 넓고, 무료입니다. Grype와 Snyk도 비슷한 영역을 다루지만, 3월 사고는 도구를 바꿀 이유가 아니라 버전을 고정할 이유입니다.
제 역할을 하는 곳
Kubernetes에서 vLLM을 운영하는 ML 플랫폼 엔지니어
서빙 이미지가 클러스터에 닿기 전에 어떤 CVE가 들어 있는지 알고 싶다
CI에서 빌드한 이미지에 trivy image를 실행하고, 수정판이 있는 HIGH와 CRITICAL에서 실패시키며, SARIF를 GitHub code scanning에 올립니다. 무료이며, 취약점 데이터베이스는 캐시하지 않으면 실행할 때마다 내려받습니다.
AWS에서 RAG 앱을 내놓는 2인 스타트업
Terraform이 적용하기 전에 공개 버킷이나 열린 보안 그룹을 잡아내고 싶다
Terraform 폴더에 trivy config를 돌리면 몇 초 만에 설정 오류를 표시하고, trivy fs --scanners secret은 Hugging Face 토큰을 포함해 커밋된 키를 찾습니다. 계정이나 라이선스가 필요 없습니다.
2026년 3월 사고 이후의 보안 책임자
변경 가능한 태그를 다시 믿지 않으면서 CI에서 Trivy를 계속 쓰고 싶다
trivy-action은 전체 커밋 SHA로, 이미지는 다이제스트로 고정하고, Aqua 권고에 나온 대로 cosign으로 릴리스 서명을 확인하며, 2026년 3월 19일과 20일에 파이프라인이 노출했을 수 있는 시크릿은 모두 교체합니다.
도입 전 확인할 점
- 설정
- brew install trivy, docker run aquasec/trivy 또는 릴리스 바이너리를 씁니다. 첫 실행에서 취약점 데이터베이스를 내려받고 나면 trivy image python:3.12가 보고서를 돌려줍니다.
- 연동
- GitHub Action(trivy-action), setup-trivy, Kubernetes 오퍼레이터, VS Code 확장, SARIF와 CycloneDX 출력. trivy-mcp 플러그인은 기본적으로 stdio로, 또는 localhost 23456번 포트의 HTTP로 MCP를 제공합니다.
- 데이터와 개인정보
- 로컬에서 실행되며 기본적으로 스캔 결과를 어디에도 보내지 않습니다. 다만 익명 사용 텔레메트리(해시한 설치 ID, 버전, OS, 내용을 드러내지 않는 플래그)는 --disable-telemetry를 주기 전까지 켜져 있고, --skip-version-check를 더하지 않으면 업데이트 확인을 위해 check.trivy.dev에 접속합니다. MCP 플러그인은 --use-aqua-platform과 저장된 키가 있을 때만 Aqua로 결과를 보냅니다.
- 대규모 사용 시 비용
- 규모와 관계없이 무료입니다. 실제 비용은 CI 실행 시간과 데이터베이스 다운로드이며, 팀은 보통 캐시나 미러로 해결합니다. Aqua 상용 플랫폼은 가격을 문의해야 합니다.
- 제한
- 열린 이슈와 풀 리퀘스트 307건. 결과는 내려받은 데이터베이스만큼만 최신입니다. 모델 가중치, pickle 페이로드가 든 노트북, 프롬프트, 에이전트 도구는 검사하지 않습니다.
좋은 점
- CVE, IaC, 시크릿, 라이선스, SBOM을 바이너리 하나로
- 모델 서빙 이미지, 락파일, Helm이나 Terraform을 똑같이 검사
- CI와 대시보드용 SARIF, JSON, CycloneDX 출력
- 잦은 릴리스와 Apache-2.0 라이선스
아쉬운 점
- 2026년 3월 릴리스와 GitHub Action이 침해됨
- 모델 파일, 프롬프트, 에이전트 동작은 다루지 않음
- 익명 사용 텔레메트리가 기본으로 켜져 있음
- trivy-mcp 플러그인은 작고 2025년 12월 이후 릴리스 없음
추천 대상
AI 서비스를 배포하는 모든 이미지, 의존성 파일, IaC 변경에 무료 점검을 걸고 싶은 플랫폼 엔지니어와 ML 엔지니어.
Trivy 대안
Trivy: 자주 묻는 질문
- Trivy, 쓸 만한 가치가 있습니까?
- Trivy는 여전히 대부분의 AI 팀이 이미지와 IaC 앞에 두어야 할 무료 스캐너입니다. 단, 다이제스트로 고정하고 2026년 3월에는 스캐너 자체가 공격 경로였다는 점을 기억해야 합니다. 평점은 5점 만점에 4.3점입니다.
- Trivy의 가격은 얼마입니까?
- Apache-2.0 무료 오픈소스입니다. Aqua Security는 Trivy 기반 상용 플랫폼을 판매하며 가격은 문의해야 합니다. trivy-mcp 플러그인은 MIT로 무료입니다.
- Trivy의 단점은 무엇입니까?
- 2026년 3월 릴리스와 GitHub Action이 침해됨; 모델 파일, 프롬프트, 에이전트 동작은 다루지 않음; 익명 사용 텔레메트리가 기본으로 켜져 있음; trivy-mcp 플러그인은 작고 2025년 12월 이후 릴리스 없음.
- Trivy에 적합한 사람은 누구입니까?
- AI 서비스를 배포하는 모든 이미지, 의존성 파일, IaC 변경에 무료 점검을 걸고 싶은 플랫폼 엔지니어와 ML 엔지니어.
- 팀이나 프로덕션 환경에서 Trivy의 비용은 얼마입니까?
- 규모와 관계없이 무료입니다. 실제 비용은 CI 실행 시간과 데이터베이스 다운로드이며, 팀은 보통 캐시나 미러로 해결합니다. Aqua 상용 플랫폼은 가격을 문의해야 합니다.
- Trivy에 회사 데이터를 맡겨도 안전합니까?
- 로컬에서 실행되며 기본적으로 스캔 결과를 어디에도 보내지 않습니다. 다만 익명 사용 텔레메트리(해시한 설치 ID, 버전, OS, 내용을 드러내지 않는 플래그)는 --disable-telemetry를 주기 전까지 켜져 있고, --skip-version-check를 더하지 않으면 업데이트 확인을 위해 check.trivy.dev에 접속합니다. MCP 플러그인은 --use-aqua-platform과 저장된 키가 있을 때만 Aqua로 결과를 보냅니다.
- Trivy의 가장 좋은 대안은 무엇입니까?
- 저희가 리뷰한 것 중 가장 가까운 대안은 Snyk Agent Scan, Cisco Skill Scanner 및 garak입니다.
답변 확인일: 2026년 11월 7일.
Trivy 개발사입니까? 이 평점을 사이트에 표시하십시오
