Trivy 替代方案

CRACI 是我們開發的產品，閱讀時請將這點納入考量；我們依據各選項自己的文件來描述它們，並在其他工具更適合時直接說明。

團隊為何考慮 Trivy 以外的選擇

Aqua Security 的 Trivy 是一款以 Apache-2.0 授權、用途廣泛的掃描工具，可掃描映像檔、檔案系統、儲存庫、VM 映像檔與 Kubernetes。它能找出漏洞、IaC 錯誤設定、機密與授權，並輸出 CycloneDX 或 SPDX 格式的 SBOM。

當情況改變時，團隊會尋找其他選擇：

• 2026 年 3 月的供應鏈入侵事件。Aqua Security 的資安公告（CVE-2026-33634）指出，2026 年 3 月 19 日出現了惡意的 Trivy v0.69.4 版本，以及遭汙染的 trivy-action 與 setup-trivy 標籤，接著 3 月 22 日出現了惡意的 Docker Hub 映像檔。注入的程式碼從 CI 執行器竊取憑證。Aqua 已公布安全版本，並建議將 actions 固定到完整的 commit SHA。
• 廣度勝於深度。一個執行檔涵蓋多項工作。在特定領域（例如容器映像檔或基礎設施即程式碼）需要更多功能的團隊，常會將該項工作交給專門工具。
• 輸入來源。對於儲存庫，Trivy 讀取的是 lock 檔，因此沒有 lock 檔的專案就沒有可供它讀取的內容。
• 佐證資料。它的 SBOM 描述的是它掃描的檔案，而不是建置所擷取的內容。
• 監控。它只在您執行時掃描；要持續關注已出貨的內容，必須依您自己的排程重新掃描。

您的管線下載並執行的每一個掃描工具，本身都是軟體供應鏈的一部分，而且就在作業的機密旁邊執行。在 CRACI 上，由執行器記錄 SBOM，因此對於您建置的軟體，不需要下載任何掃描步驟。執行器的對外連線（egress）政策可以限制作業中任何步驟能連線的主機，且每個作業的網路軌跡都會被記錄。依 Aqua 的建議將 actions 固定到 commit SHA，在 CRACI 上同樣適用。

評估重點

• 您要取代 Trivy 的哪一項工作：映像檔掃描、IaC、機密或 SBOM。
• SBOM 是來自磁碟上的檔案，還是來自建置所擷取的內容。
• 遞移相依套件，以及工具是否會在其紀錄不完整時明確告知。
• 版本發布後的監控，而不只是在您執行時掃描一次。
• 格式：CycloneDX、SPDX 與 VEX。

選項

Grype、Docker Scout、Snyk Container 與 Clair 掃描容器映像檔。Checkov 與 KICS 掃描基礎設施即程式碼，Gitleaks 則找出機密。CRACI、Anchore Enterprise、Aikido、Dependency-Track 與 GitHub Advanced Security 則以不同方式涵蓋 SBOM 與相依套件漏洞。

1. CRACI（我們的產品）

CRACI 在您的 GitHub Actions 建置執行時記錄 SBOM，而不是事後掃描檔案。具套件感知能力的代理伺服器會記錄作業取得的每個套件，包括從 CI 快取還原的套件，每份 CycloneDX 或 SPDX 格式的 SBOM 都會標示每個作業與每個快取的完整度。CRACI 會在新漏洞出現時持續重新評估受監控的 SBOM，政策關卡可依發現結果阻擋建置，API 則會傳回 SBOM、網路追蹤與來源證明。

最適合： 您在 GitHub Actions 上建置之軟體的 SBOM 與相依套件漏洞。

適合考慮的情況： 您不需要基礎架構即程式碼、機密、叢集或 VM 映像檔掃描（CRACI 不提供這些），且您的建置在 Linux 上的 GitHub Actions 執行。

建置時 SBOM 產生

2. Syft 與 Grype（開源）

Syft 是 Anchore 推出、採 Apache-2.0 授權的免費 SBOM 產生工具，適用於容器映像檔與檔案系統。它可辨識數十種套件類型，輸出 CycloneDX、SPDX 與 Syft JSON，並可建立已簽章的 in-toto SBOM 證明。其搭配工具 Grype 則將 SBOM 與漏洞進行比對。

最適合： 映像檔，以及任何需要免費 SBOM 產生工具的管線。

適合考慮的情況： 您能檢查掃描設定：catalogers 依掃描類型選擇，因此一個旗標就可能決定 npm 套件是否會出現。

CRACI 與 Syft、Grype 比較

3. Docker Scout

Docker Scout 分析容器映像檔：它彙整映像檔元件的清冊（即 SBOM），並與持續更新的漏洞資料庫比對。您可以從 Docker Hub、Docker CLI 與 Docker Scout Dashboard 使用它。它可整合 GitHub Actions、GitLab、Azure DevOps Pipelines、CircleCI 與 Jenkins，以及 Amazon ECR、Azure Container Registry、JFrog Artifactory、Harbor 與 Sonatype Nexus 等 OCI registry。截至 2026 年 9 月，免費的 Docker Personal 方案包含 1 個啟用 Scout 的儲存庫，Pro 包含 2 個；Team（每位使用者每月 $15，按年計費）與 Business 則不限儲存庫數量。

最適合： 已在使用 Docker 工具建置與儲存映像檔的團隊。

適合考慮的情況： 您需要分析超過兩個儲存庫，這需要 Team 或 Business 方案。

4. Snyk Container

Snyk Container 掃描容器映像檔及其中的開源相依套件，推薦漏洞較少的基底映像檔，並監控 Kubernetes 工作負載。它可連接 Docker Hub、Amazon ECR、Azure ACR、Google GCR、Artifactory、Harbor 與 Red Hat Quay 等 registry，並依漏洞利用成熟度與工作負載設定排定發現的優先順序。截至 2026 年 9 月，Snyk 提供 Free 方案、每月 $25 起的 Team 方案，以及 Enterprise 方案。

最適合： 希望在 Snyk 程式碼與相依套件掃描旁取得基底映像檔升級建議的開發者。

CRACI 與 Snyk 比較

5. Clair（開源）

Clair 來自 Quay 專案，是採 Apache 2.0 授權、用於靜態分析容器映像檔漏洞的服務。其 indexer 會擷取映像檔層，matcher 會將索引與漏洞資料比對，notifier 則會在新漏洞影響已建立索引的映像檔時通知您。它可比對 Ubuntu、Debian、RHEL、SUSE、Oracle、Alpine、Amazon Linux 與 VMware Photon 的作業系統套件，以及 Python 套件。

最適合： 需要在 API 後方提供映像檔掃描服務的 registry 與平台，例如 Quay。

適合考慮的情況： 您已準備好維運一項服務而非 CLI，且它的語言涵蓋範圍符合您的映像檔。

6. Checkov（開源）

Checkov 由 Palo Alto Networks 旗下的 Prisma Cloud 維護，用於掃描基礎架構即程式碼：Terraform 與 Terraform plan、OpenTofu、CloudFormation、AWS SAM、Kubernetes、Helm、Kustomize、Dockerfile、Serverless、Bicep、ARM 範本與 OpenAPI。它也會掃描開源套件與容器映像檔中的 CVE，並以正規表示式、關鍵字與熵值檢查找出機密。它採 Apache-2.0 授權開源。

最適合： 取代 Trivy 針對基礎架構即程式碼的設定錯誤掃描。

7. KICS（開源）

KICS 來自 Checkmarx，用於找出基礎架構即程式碼中的資安問題。它涵蓋 Terraform、Kubernetes、Docker、CloudFormation、Ansible、Helm、Pulumi 等，採 Apache-2.0 授權開源。

最適合： 同時涵蓋 Ansible 與 Pulumi 的開源 IaC 掃描工具。

8. Gitleaks（開源）

Gitleaks 偵測 Git 儲存庫與檔案中的密碼、API 金鑰與權杖。它採 MIT 授權開源。

最適合： 以專用工具取代 Trivy 的機密掃描。

9. Anchore Enterprise

Anchore Enterprise 建立在 Anchore 的開源工具 Syft 與 Grype 之上。它可從容器映像檔、原始碼與檔案系統產生 SBOM，匯入在其他地方建立的 SBOM，在沒有原始建置產物的情況下重新掃描已儲存的 SBOM，並強制執行 FedRAMP、NIST、CIS、PCI DSS 與 CMMC 政策套件。它可部署在 Kubernetes、Docker Compose 或離線隔離環境中。價格依報價而定。

最適合： 橫跨多種 CI 系統的容器群，以及政府或離線隔離環境。

CRACI 與 Anchore 比較

10. Aikido

涵蓋廣泛的 AppSec 套件。每個方案都列出 SCA、SAST、機密、IaC、雲端安全態勢、容器掃描、DAST、授權掃描與 SBOM 產生。其 SCA 使用函式層級的可達性分析，AutoFix 會開啟 pull request，並可阻擋含有嚴重發現的 pull request。它提供免費的 Developer 方案，付費方案每月 $350 起（截至 2026 年 9 月）。

最適合： 希望以單一工具與單一儀表板滿足大部分掃描需求的小型團隊。

CRACI 與 Aikido 比較

11. Dependency-Track（開源）

OWASP Dependency-Track 是採 Apache 2.0 授權的免費平台，可追蹤您產品組合中每個應用程式每個版本的元件。它從 NVD 與 GitHub Advisories 等來源取得漏洞資料，具備針對安全、授權與營運規則的政策引擎，並能讀取與產生 CycloneDX VEX。

最適合： 希望使用透明、自架且無授權費之 SBOM 平台的團隊。

適合考慮的情況： 您已準備好維運它並為它提供資料；它分析您上傳的 SBOM，但不會產生 SBOM。

給 Dependency-Track 使用者的 CRACI

12. GitHub Advanced Security

建立在 GitHub 平台功能之上的兩項付費產品。Secret Protection 涵蓋機密掃描與推送保護；Code Security 涵蓋 CodeQL 程式碼掃描、Copilot Autofix 與相依性審查。它們建立在所有 GitHub 方案都包含的相依關係圖與 Dependabot 之上，相依關係圖可匯出為 SPDX SBOM。在 Team 或 Enterprise 方案上，Secret Protection 每位活躍提交者每月 $19，Code Security $30（截至 2026 年 9 月）。

最適合： 程式碼與工作流程已在 GitHub 上、並希望減少廠商數量的團隊。

CRACI 與 GitHub Advanced Security 比較

Grype vs Trivy

兩者都是以 Apache-2.0 授權的免費開源掃描工具，也都能掃描容器映像檔與檔案系統。差異在於範圍：

• Grype 專注於漏洞。它掃描 Docker、OCI 與 Singularity 映像檔、檔案系統與 SBOM，涵蓋作業系統套件以及 Java、JavaScript、Python、.NET、Go、PHP、Ruby 與 Rust 等語言，以 EPSS 與 KEV 資料排定優先順序，並以 OpenVEX 過濾結果。SBOM 產生則交給 Syft。
• Trivy 以單一執行檔做更多事。除了漏洞，它還能找出 IaC 錯誤設定、機密與授權，掃描儲存庫、虛擬機器映像檔與 Kubernetes，並自行輸出 CycloneDX 或 SPDX 格式的 SBOM。

若您想要專注於映像檔與 SBOM 的掃描工具，請選擇搭配 Syft 的 Grype。若一套工具涵蓋多項檢查更為重要，請選擇 Trivy。兩者都讀取眼前的檔案，因此都仰賴 lock 檔或已安裝套件的存在。

並列比較

「未說明」表示我們無法在廠商的公開頁面上確認該資訊。

何時應繼續使用 Trivy

• 您需要掃描基礎設施即程式碼、Kubernetes 叢集、VM 映像檔、機密或錯誤設定。
• 您需要掃描並非由您建置的映像檔或軟體。
• 您想要一個能在任何 CI 中執行的免費執行檔。
• 您可以搭配使用：CRACI 不掃描的項目，繼續交給 Trivy。

進一步閱讀 CRACI vs Trivy、建置時 SBOM 產生，以及 SBOM 工具比較。

Trivy 替代方案常見問題

團隊比較時常問問題的簡短解答

Trivy 最好的替代方案是什麼？

取決於您要取代 Trivy 的哪一項工作。容器映像檔方面，Grype 是最接近的開源選擇，Docker Scout、Snyk Container 與 Clair 也是可行選項。基礎設施即程式碼方面有 Checkov 與 KICS。機密方面有 Gitleaks。至於您在 GitHub Actions 上建置之軟體的 SBOM 與相依套件漏洞，CRACI 會從建置中記錄 SBOM 並持續追蹤。沒有任何單一工具能取代 Trivy 的全部功能。

Trivy 是免費的嗎？

是的。Trivy 是以 Apache-2.0 授權的開源軟體，由 Aqua Security 維護。Grype、Clair、Checkov 與 KICS 同樣以 Apache-2.0 授權免費提供，Gitleaks 則採用 MIT 授權。

Grype vs Trivy：哪個比較好？

整體而言沒有優劣之分。Grype 專注於容器映像檔、檔案系統與 SBOM 的漏洞，具備 EPSS 與 KEV 資料以及 OpenVEX 過濾，並搭配 Syft 產生 SBOM。Trivy 則以單一執行檔涵蓋更多範圍：還包括基礎設施即程式碼、機密、授權、虛擬機器映像檔與 Kubernetes。若需要專注的漏洞掃描，請選擇 Grype；若想用一套工具涵蓋多項檢查，請選擇 Trivy。

Trivy 在 2026 年 3 月遭入侵後還能安全使用嗎？

Aqua Security 的資安公告（CVE-2026-33634）指出，2026 年 3 月 19 日出現了惡意的 Trivy v0.69.4 版本，以及遭汙染的 trivy-action 與 setup-trivy 標籤，3 月 22 日則出現了惡意的 Docker Hub 映像檔。Aqua 列出了安全版本，並建議輪換可能外洩的機密，以及將 GitHub Actions 固定到完整的 commit SHA。請查閱該公告，確認您所執行的版本。

Trivy 能掃描基礎設施即程式碼嗎？

可以。Trivy 除了漏洞、機密與授權之外，也能找出基礎設施即程式碼中的錯誤設定。如果您想改用專門的 IaC 掃描工具，Checkov 與 KICS 是開源選項。

CRACI 能取代 Trivy 嗎？

對於您在 GitHub Actions 上建置之軟體的 SBOM 與相依套件漏洞，可以：CRACI 在建置執行時記錄 SBOM，並持續依據漏洞資料重新評估。CRACI 不掃描基礎設施即程式碼、Kubernetes 叢集、虛擬機器映像檔、機密、錯誤設定，或並非由您建置的映像檔。這些項目請繼續使用 Trivy 或其他掃描工具。