Alternativas a Trivy

Nosotros desarrollamos CRACI, así que téngalo en cuenta; describimos cada opción a partir de su propia documentación e indicamos cuándo encaja mejor otra herramienta.

Por qué los equipos buscan más allá de Trivy

Trivy, de Aqua Security, es un escáner versátil bajo Apache-2.0 para imágenes, sistemas de archivos, repositorios, imágenes de VM y Kubernetes. Encuentra vulnerabilidades, errores de configuración de IaC, secretos y licencias, y escribe SBOM en CycloneDX o SPDX.

Los equipos buscan otras opciones cuando cambia su situación:

• El ataque a la cadena de suministro de marzo de 2026. El aviso de Aqua Security (CVE-2026-33634) describe una versión maliciosa v0.69.4 de Trivy y etiquetas envenenadas de trivy-action y setup-trivy el 19 de marzo de 2026, seguidas de imágenes maliciosas en Docker Hub el 22 de marzo. El código inyectado robaba credenciales de los runners de CI. Aqua publicó las versiones seguras y recomienda fijar las acciones a SHA de commit completos.
• Amplitud antes que profundidad. Un solo binario cubre muchos trabajos. Los equipos que necesitan más en un área, como las imágenes de contenedor o la infraestructura como código, suelen trasladar ese trabajo a una herramienta específica.
• Entradas. En un repositorio, Trivy lee lockfiles, así que un proyecto sin ninguno no le da nada que leer.
• Evidencia. Su SBOM describe los archivos que escaneó, no lo que descargó el build.
• Monitorización. Escanea cuando usted lo ejecuta; vigilar lo distribuido significa volver a escanear según su propio calendario.

Cada escáner que su pipeline descarga y ejecuta forma parte a su vez de su cadena de suministro de software, y se ejecuta junto a los secretos del job. En CRACI, el runner registra la SBOM, así que no hay ningún paso de escáner que descargar para el software que usted genera. La política de egress del runner puede limitar a qué hosts llega cualquier paso del job, y la traza de red de cada job queda registrada. Fijar las acciones a SHA de commit, como recomienda Aqua, también se aplica en CRACI.

Qué tener en cuenta

• Qué trabajo de Trivy quiere sustituir: escaneo de imágenes, IaC, secretos o SBOM.
• Si la SBOM sale de archivos en disco o de lo que descargó el build.
• Las dependencias transitivas, y si la herramienta indica cuándo su registro está incompleto.
• La monitorización después del lanzamiento, no solo un escaneo cuando usted lo ejecuta.
• Los formatos: CycloneDX, SPDX y VEX.

Las opciones

Grype, Docker Scout, Snyk Container y Clair escanean imágenes de contenedor. Checkov y KICS escanean infraestructura como código, y Gitleaks encuentra secretos. CRACI, Anchore Enterprise, Aikido, Dependency-Track y GitHub Advanced Security cubren las SBOM y las vulnerabilidades de dependencias de distintas formas.

1. CRACI (nuestro producto)

CRACI registra la SBOM mientras se ejecuta su build de GitHub Actions, en lugar de escanear archivos después. Un proxy que entiende de paquetes registra cada paquete que descargó el job, incluidos los paquetes restaurados desde cachés de CI, y cada SBOM, en CycloneDX o SPDX, indica su completitud por job y por caché. CRACI sigue reevaluando las SBOM monitorizadas a medida que aparecen nuevas vulnerabilidades, los controles de política pueden bloquear un build en función de los hallazgos, y la API devuelve SBOM, trazas de red y procedencia.

Ideal para: la SBOM y las vulnerabilidades de dependencias del software que compila en GitHub Actions.

Considérelo si: no necesita escanear infraestructura como código, secretos, clústeres ni imágenes de máquinas virtuales, algo que CRACI no hace, y sus builds se ejecutan en GitHub Actions sobre Linux.

Generación de SBOM durante el build

2. Syft y Grype (código abierto)

Syft es el generador gratuito de Anchore, bajo Apache-2.0, para imágenes de contenedor y sistemas de archivos. Reconoce decenas de tipos de paquetes, genera CycloneDX, SPDX y Syft JSON, y puede crear atestaciones de SBOM in-toto firmadas. Grype, su complemento, coteja la SBOM con las vulnerabilidades.

Ideal para: imágenes, y cualquier pipeline que necesite un generador gratuito.

Considérelo si: puede revisar la configuración del escaneo: los catalogadores se eligen según el tipo de escaneo, así que una sola opción puede decidir si los paquetes npm aparecen o no.

CRACI frente a Syft y Grype

3. Docker Scout

Docker Scout analiza imágenes de contenedor: elabora un inventario de sus componentes, una SBOM, y lo coteja con una base de datos de vulnerabilidades que se actualiza continuamente. Se usa desde Docker Hub, la Docker CLI y el Docker Scout Dashboard. Se integra con GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI y Jenkins, y con registros OCI como Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor y Sonatype Nexus. A septiembre de 2026, el plan gratuito Docker Personal incluye 1 repositorio con Scout y Pro incluye 2; Team, a $15 por usuario al mes con facturación anual, y Business incluyen repositorios ilimitados.

Ideal para: equipos que ya compilan y almacenan imágenes con las herramientas de Docker.

Considérelo si: necesita analizar más de dos repositorios, lo que requiere un plan Team o Business.

4. Snyk Container

Snyk Container escanea imágenes de contenedor y las dependencias de código abierto que contienen, recomienda imágenes base con menos vulnerabilidades y monitoriza cargas de trabajo de Kubernetes. Se conecta a registros como Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor y Red Hat Quay, y prioriza los hallazgos según la madurez del exploit y la configuración de la carga de trabajo. A septiembre de 2026, Snyk tiene un plan Free, Team desde $25 al mes y un plan Enterprise.

Ideal para: desarrolladores que quieren recomendaciones de actualización de la imagen base junto al escaneo de código y dependencias de Snyk.

CRACI frente a Snyk

5. Clair (código abierto)

Clair, del proyecto Quay, es un servicio bajo Apache 2.0 para el análisis estático de vulnerabilidades en imágenes de contenedor. Su indexador descarga las capas de la imagen, su comparador coteja el índice con los datos de vulnerabilidades y su notificador le avisa cuando una nueva vulnerabilidad afecta a una imagen que ya ha indexado. Coteja paquetes del sistema operativo de Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux y VMware Photon, además de paquetes de Python.

Ideal para: registros y plataformas que necesitan un servicio de escaneo de imágenes detrás de una API, como en Quay.

Considérelo si: está dispuesto a operar un servicio en lugar de una CLI, y su cobertura de lenguajes se ajusta a sus imágenes.

6. Checkov (código abierto)

Checkov, mantenido por Prisma Cloud de Palo Alto Networks, escanea infraestructura como código: Terraform y planes de Terraform, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfiles, Serverless, Bicep, plantillas ARM y OpenAPI. También escanea paquetes de código abierto e imágenes de contenedor en busca de CVE y encuentra secretos mediante comprobaciones de expresiones regulares, palabras clave y entropía. Es de código abierto bajo Apache-2.0.

Ideal para: sustituir el escaneo de configuraciones erróneas de infraestructura como código de Trivy.

7. KICS (código abierto)

KICS, de Checkmarx, detecta problemas de seguridad en infraestructura como código. Cubre Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi y más, y es de código abierto bajo Apache-2.0.

Ideal para: un escáner de IaC de código abierto que también cubre Ansible y Pulumi.

8. Gitleaks (código abierto)

Gitleaks detecta contraseñas, claves de API y tokens en repositorios Git y archivos. Es de código abierto bajo MIT.

Ideal para: sustituir el escaneo de secretos de Trivy por una herramienta dedicada.

9. Anchore Enterprise

Anchore Enterprise se basa en Syft y Grype, las herramientas de código abierto de Anchore. Genera SBOM a partir de imágenes de contenedor, código fuente y sistemas de archivos, importa SBOM creadas en otros lugares, vuelve a escanear las SBOM almacenadas sin el artefacto original y aplica paquetes de políticas para FedRAMP, NIST, CIS, PCI DSS y CMMC. Se despliega en Kubernetes, Docker Compose o en entornos aislados (air-gapped). El precio es mediante presupuesto.

Ideal para: flotas de contenedores en varios sistemas de CI, y entornos gubernamentales o aislados.

CRACI frente a Anchore

10. Aikido

Una amplia suite de AppSec. Todos los planes incluyen SCA, SAST, secretos, IaC, postura en la nube, escaneo de contenedores, DAST, escaneo de licencias y generación de SBOM. Su SCA usa alcanzabilidad a nivel de función, AutoFix abre pull requests y puede bloquear pull requests con hallazgos críticos. Hay un plan Developer gratuito, y los planes de pago parten de $350 al mes (a septiembre de 2026).

Ideal para: equipos más pequeños que quieren una sola herramienta y un solo panel para la mayoría de sus necesidades de escaneo.

CRACI frente a Aikido

11. Dependency-Track (código abierto)

OWASP Dependency-Track es una plataforma gratuita bajo Apache 2.0 que realiza el seguimiento de los componentes en cada versión de cada aplicación de su cartera. Obtiene datos de vulnerabilidades de fuentes como la NVD y GitHub Advisories, tiene un motor de políticas para reglas de seguridad, licencias y operaciones, y consume y genera CycloneDX VEX.

Ideal para: equipos que quieren una plataforma de SBOM transparente y autoalojada sin coste de licencia.

Considérelo si: está dispuesto a operarla y a alimentarla; analiza las SBOM que usted sube y no las genera.

CRACI para usuarios de Dependency-Track

12. GitHub Advanced Security

Dos productos de pago sobre las funciones de la plataforma de GitHub. Secret Protection cubre el escaneo de secretos y la protección de push; Code Security cubre el escaneo de código con CodeQL, Copilot Autofix y la revisión de dependencias. Se basan en el grafo de dependencias y Dependabot, incluidos en todos los planes de GitHub, y el grafo se exporta como SBOM SPDX. Secret Protection cuesta $19 y Code Security $30 por committer activo al mes, en Team o Enterprise (a septiembre de 2026).

Ideal para: equipos cuyo código y workflows ya están en GitHub y quieren menos proveedores.

CRACI frente a GitHub Advanced Security

Grype frente a Trivy

Ambos son escáneres gratuitos y de código abierto bajo Apache-2.0, y ambos escanean imágenes de contenedor y sistemas de archivos. La diferencia es el alcance:

• Grype se centra en las vulnerabilidades. Escanea imágenes Docker, OCI y Singularity, sistemas de archivos y SBOM, cubre paquetes del sistema operativo y lenguajes como Java, JavaScript, Python, .NET, Go, PHP, Ruby y Rust, prioriza con datos EPSS y KEV y filtra los resultados con OpenVEX. La generación de SBOM es trabajo de Syft.
• Trivy hace más en un solo binario. Además de vulnerabilidades, encuentra errores de configuración de IaC, secretos y licencias, escanea repositorios, imágenes de máquina virtual y Kubernetes, y escribe por sí mismo SBOM en CycloneDX o SPDX.

Elija Grype, con Syft, cuando quiera un escáner centrado en imágenes y SBOM. Elija Trivy cuando importe más tener una sola herramienta para muchas comprobaciones. Ambos leen los archivos que tienen delante, así que ambos dependen de que haya lockfiles o paquetes instalados.

Lado a lado

«No indicado» significa que no pudimos confirmarlo en las páginas públicas del proveedor.

Cuándo quedarse con Trivy

• Escanea infraestructura como código, clústeres de Kubernetes, imágenes de VM, secretos o errores de configuración.
• Escanea imágenes o software que usted no generó.
• Quiere un único binario gratuito que funcione en cualquier CI.
• Puede combinarlos: conserve Trivy para lo que CRACI no escanea.

Lea más en CRACI frente a Trivy, sobre la generación de SBOM durante el build y en la comparativa de herramientas de SBOM.

Alternativas a Trivy: preguntas frecuentes

Respuestas breves a las preguntas que se plantean los equipos al comparar

¿Cuál es la mejor alternativa a Trivy?

Depende de qué trabajo de Trivy quiera sustituir. Para imágenes de contenedor, Grype es la opción de código abierto más parecida, y Docker Scout, Snyk Container y Clair son otras opciones. Para la infraestructura como código, Checkov y KICS. Para los secretos, Gitleaks. Para la SBOM y las vulnerabilidades de dependencias del software que genera en GitHub Actions, CRACI registra la SBOM desde el build y sigue monitorizándola. Ninguna herramienta sustituye por sí sola todo lo que hace Trivy.

¿Es gratuito Trivy?

Sí. Trivy es de código abierto bajo Apache-2.0 y lo mantiene Aqua Security. Grype, Clair, Checkov y KICS también son gratuitos bajo Apache-2.0, y Gitleaks, bajo MIT.

Grype frente a Trivy: ¿cuál es mejor?

Ninguno en general. Grype se centra en las vulnerabilidades de imágenes de contenedor, sistemas de archivos y SBOM, con datos EPSS y KEV y filtrado OpenVEX, y se combina con Syft para las SBOM. Trivy cubre más en un solo binario: también infraestructura como código, secretos, licencias, imágenes de máquina virtual y Kubernetes. Elija Grype para un escaneo de vulnerabilidades centrado y Trivy para una sola herramienta con muchas comprobaciones.

¿Sigue siendo seguro usar Trivy tras el ataque de marzo de 2026?

El aviso de Aqua Security (CVE-2026-33634) describe una versión maliciosa v0.69.4 de Trivy y etiquetas envenenadas de trivy-action y setup-trivy el 19 de marzo de 2026, e imágenes maliciosas en Docker Hub el 22 de marzo. Aqua enumera las versiones seguras y recomienda rotar los secretos que hayan podido quedar expuestos y fijar las GitHub Actions a SHA de commit completos. Consulte el aviso para comprobar las versiones que ejecuta.

¿Escanea Trivy infraestructura como código?

Sí. Trivy encuentra errores de configuración en infraestructura como código, además de vulnerabilidades, secretos y licencias. Si prefiere un escáner de IaC específico, Checkov y KICS son opciones de código abierto.

¿Puede CRACI sustituir a Trivy?

Para la SBOM y las vulnerabilidades de dependencias del software que genera en GitHub Actions, sí: CRACI registra la SBOM mientras se ejecuta el build y la sigue reevaluando con los datos de vulnerabilidades. CRACI no escanea infraestructura como código, clústeres de Kubernetes, imágenes de máquina virtual, secretos, errores de configuración ni imágenes que usted no haya generado. Para eso, conserve Trivy u otro escáner.