O que é Trivy?
Trivy é um único binário em Go que procura problemas de segurança no que você entrega. Os alvos são imagens de contêiner, sistemas de arquivos, repositórios Git remotos, imagens de máquina virtual e clusters Kubernetes; os scanners encontram vulnerabilidades conhecidas (CVEs) em pacotes do sistema e dependências de linguagem, erros de configuração em Terraform, Dockerfiles, charts Helm e manifestos Kubernetes, segredos gravados no código e licenças de software, e ele gera SBOMs.
Nada nele é específico de IA, mas uma stack de IA é quase toda software comum: uma imagem de serviço de modelos construída sobre CUDA e Python, um arquivo de requisitos com centenas de pacotes e o Terraform ou Helm que faz o deploy. O Trivy analisa os três com a mesma linha de comando, e o scanner de segredos tem uma regra para tokens de acesso do Hugging Face. Um plugin separado, o trivy-mcp, roda o Trivy como servidor MCP para que um agente de programação possa pedir uma análise.
O Trivy usa a licença Apache-2.0 e é mantido pela Aqua Security, que vende uma plataforma comercial construída sobre um fork. Entre as integrações estão uma GitHub Action oficial (trivy-action), um operador Kubernetes e uma extensão para VS Code.
Trivy vale a pena?
O Trivy é o scanner gratuito mais amplo para as partes de um sistema de IA que não são o modelo: um só binário cobre CVEs de uma imagem vLLM ou PyTorch, pacotes vulneráveis de um lockfile Python, um bucket S3 deixado público no Terraform e uma chave de API commitada por engano. Cerca de 39.100 estrelas no GitHub e uma versão a cada poucas semanas (a v0.76.2 saiu em 5 de novembro de 2026) fazem dele o padrão em muitos pipelines de CI, e sua saída em JSON, SARIF e CycloneDX alimenta a maioria dos painéis.
Em trabalho de IA, o hábito útil é analisar a imagem de serviço, não só o seu código. Imagens base para GPU são grandes e escondem pacotes antigos, e o Trivy os aponta por camada. Ele não inspeciona pesos de modelos em busca de exploits de pickle, não testa prompts nem avalia agentes; isso é trabalho do garak, do PyRIT e dos scanners de skills. O plugin trivy-mcp deixa o Claude Desktop, o Cursor ou o VS Code pedirem em linguagem natural a análise de um sistema de arquivos, imagem ou repositório, mas é pequeno (58 estrelas), não tem versão nova desde a v0.0.20, de 17 de dezembro de 2025, e, com uma chave da Aqua, envia os resultados para a plataforma da Aqua.
O porém: o Trivy foi a porta de entrada da campanha TeamPCP que depois atingiu o LiteLLM. Segundo o aviso da Aqua (CVE-2026-33634), os atacantes que tinham obtido um token privilegiado no fim de fevereiro mantiveram o acesso porque a rotação de credenciais após a divulgação de 1 de março não foi atômica. Em 19 de março de 2026 eles publicaram um Trivy v0.69.4 malicioso, disponível por cerca de 3 horas no GitHub, GHCR, ECR Public, Docker Hub e nos repositórios deb e rpm; forçaram 76 das 77 tags do trivy-action (cerca de 12 horas) e todas as 7 tags do setup-trivy (cerca de 4 horas) para código que despejava a memória do runner de CI e enviava os segredos a um domínio imitado; e em 22 de março subiram ao Docker Hub as imagens 0.69.5 e 0.69.6 com credenciais roubadas separadamente, disponíveis por cerca de 10 horas. O código malicioso nunca chegou ao branch principal do Trivy. O LiteLLM afirma que o token do PyPI usado para envenenar suas versões em 24 de março foi obtido pelo Trivy no seu próprio pipeline de CI.
A Aqua removeu os artefatos, republicou as tags do trivy-action com o prefixo v apontando para os commits originais, restaurou a tag latest do Docker Hub para 0.69.3, publicou indicadores de comprometimento e verificações de assinatura e chamou a empresa de resposta a incidentes Sygnia; ela afirma que sua plataforma comercial, construída a partir de um fork separado, não foi afetada. O conselho que fica é a regra geral para ferramentas de segurança em CI: fixar as actions em SHAs de commit completos e as imagens em digests, e tratar um scanner como código que pode ler todos os segredos do job.
Nossa opinião: um scanner ganha seu lugar sendo entediante, e o Trivy é entediante do jeito certo: rápido, amplo e gratuito. Grype e Snyk cobrem um terreno parecido, e o incidente de março é um argumento para fixar versões, não para trocar de ferramenta.
Onde ele se destaca
Um engenheiro de plataforma de ML que roda vLLM no Kubernetes
Saber quais CVEs estão na imagem de serviço antes que ela chegue ao cluster
Rode trivy image na imagem construída no CI, falhe em HIGH e CRITICAL com correção disponível e envie o SARIF ao GitHub code scanning. Gratuito; o banco de vulnerabilidades é baixado a cada execução, a menos que você o coloque em cache.
Uma startup de duas pessoas lançando um app RAG na AWS
Pegar um bucket público ou um security group aberto antes que o Terraform o aplique
trivy config na pasta do Terraform aponta erros de configuração em segundos e trivy fs --scanners secret procura chaves commitadas, incluindo tokens do Hugging Face. Não precisa de conta nem licença.
Um head de segurança depois do incidente de março de 2026
Manter o Trivy no CI sem voltar a confiar em tags mutáveis
Fixe o trivy-action em um SHA de commit completo e a imagem em um digest, verifique as assinaturas das versões com cosign como mostra o aviso da Aqua e troque qualquer segredo que um pipeline tenha exposto em 19 e 20 de março de 2026.
Antes de decidir
- Configuração
- brew install trivy, docker run aquasec/trivy ou um binário da página de versões; depois, trivy image python:3.12 devolve um relatório assim que o banco de vulnerabilidades termina de baixar na primeira execução.
- Integrações
- GitHub Action (trivy-action), setup-trivy, operador Kubernetes, extensão VS Code, saída SARIF e CycloneDX; o plugin trivy-mcp serve MCP por stdio por padrão ou por HTTP na porta 23456 do localhost.
- Dados e privacidade
- Roda localmente e, por padrão, não envia resultados de análise para lugar nenhum, mas a telemetria de uso anônima (um ID de instalação com hash, versão, sistema operacional e flags não reveladoras) fica ativa até você passar --disable-telemetry, e ele consulta check.trivy.dev em busca de atualizações a menos que você adicione --skip-version-check. O plugin MCP só envia resultados à Aqua com --use-aqua-platform e uma chave salva.
- Custo em escala
- Gratuito em qualquer escala; os custos reais são minutos de CI e downloads do banco, que as equipes costumam pôr em cache ou espelhar. A plataforma comercial da Aqua tem preço sob consulta.
- Limites
- 307 issues e pull requests abertos; os achados são tão atuais quanto o banco baixado; não analisa pesos de modelos, notebooks em busca de payloads pickle, prompts nem ferramentas de agentes.
O que é bom
- Um binário para CVEs, IaC, segredos, licenças e SBOMs
- Analisa igualmente imagens de serviço de modelos, lockfiles e Helm ou Terraform
- Saída SARIF, JSON e CycloneDX para CI e painéis
- Versões frequentes e licença Apache-2.0
O que não é
- Sua versão e sua GitHub Action foram comprometidas em março de 2026
- Nada para arquivos de modelo, prompts ou comportamento de agentes
- Telemetria de uso anônima ligada por padrão
- Plugin trivy-mcp pequeno e sem versão desde dezembro de 2025
Ideal para
Engenheiros de plataforma e de ML que querem uma checagem gratuita em cada imagem, arquivo de dependências e mudança de IaC que coloca um serviço de IA no ar.
Alternativas ao Trivy
Trivy: perguntas frequentes
- Trivy vale a pena?
- O Trivy continua sendo o scanner gratuito que a maioria das equipes de IA deveria pôr na frente de suas imagens e do seu IaC, desde que o fixem por digest e lembrem que em março de 2026 o próprio scanner foi o ataque. Damos nota 4.3 de 5.
- Quanto custa Trivy?
- Gratuito e open source sob Apache-2.0. A Aqua Security vende uma plataforma comercial baseada no Trivy, com preço sob consulta; o plugin trivy-mcp é gratuito sob MIT.
- Quais são as desvantagens de Trivy?
- Sua versão e sua GitHub Action foram comprometidas em março de 2026; nada para arquivos de modelo, prompts ou comportamento de agentes; telemetria de uso anônima ligada por padrão; plugin trivy-mcp pequeno e sem versão desde dezembro de 2025.
- Para quem Trivy é indicado?
- Engenheiros de plataforma e de ML que querem uma checagem gratuita em cada imagem, arquivo de dependências e mudança de IaC que coloca um serviço de IA no ar.
- Quanto custa Trivy para uma equipe ou em produção?
- Gratuito em qualquer escala; os custos reais são minutos de CI e downloads do banco, que as equipes costumam pôr em cache ou espelhar. A plataforma comercial da Aqua tem preço sob consulta.
- Trivy é seguro para dados da empresa?
- Roda localmente e, por padrão, não envia resultados de análise para lugar nenhum, mas a telemetria de uso anônima (um ID de instalação com hash, versão, sistema operacional e flags não reveladoras) fica ativa até você passar --disable-telemetry, e ele consulta check.trivy.dev em busca de atualizações a menos que você adicione --skip-version-check. O plugin MCP só envia resultados à Aqua com --use-aqua-platform e uma chave salva.
- Quais são as melhores alternativas ao Trivy?
- As alternativas mais próximas que analisamos são Snyk Agent Scan, Cisco Skill Scanner e garak.
Respostas verificadas em 7 de nov. de 2026.
Você faz o Trivy? Mostre esta nota no seu site
