# Trivy: один сканер для контейнеров, кода и кластеров

- Site: VeraPoint News
- Section: Инструменты
- Date: 2026-06-04
- Canonical: https://verapointmedia.com/tools/aquasecurity-trivy/
- Markdown: https://verapointmedia.com/tools/aquasecurity-trivy.md
- Summary: Trivy ищет уязвимости, секреты и ошибки конфигурации в контейнерах, репозиториях и Kubernetes. Разбираю, как его быстро попробовать и где он реально полезен.
- SEO title: Trivy: браузерная отладка и проверка сайтов AI-агентом
- SEO description: Trivy ищет уязвимости, секреты и ошибки конфигурации в контейнерах, репозиториях и Kubernetes. Разбираю, как его быстро попробовать и где он реально полезе
- Target queries: Trivy; Trivy github; что такое Trivy; как использовать Trivy
- Tags: #devtools #security #kubernetes #containers #go #devsecops
- Image: https://verapointmedia.com/static/content-assets/tools/aquasecurity-trivy/cover.webp

## Sources

- https://github.com/aquasecurity/trivy
- https://trivy.dev
- https://github.com/aquasecurity/trivy/releases/latest/
- https://github.com/aquasecurity/trivy-action

---

**Trivy — что это такое: https://github.com/aquasecurity/trivy**
Если у вас в проекте есть контейнеры, Kubernetes или просто репозиторий с кодом, Trivy умеет быстро подсветить неприятности: уязвимости, секреты, ошибки в инфраструктурных файлах и даже лицензии. И вот это, честно, уже не «ещё один security-tool», а штука, которую можно реально воткнуть в процесс и получить пользу почти сразу.

## Если просто

Trivy — это сканер безопасности. Но не в абстрактном смысле, а в очень приземлённом: он смотрит на образ контейнера, папку с проектом, удалённый Git-репозиторий, Kubernetes-кластер или VM-образ и ищет там типовые проблемы.

По человечески это значит: где-то у вас залежалась уязвимая библиотека, где-то в YAML торчит небезопасная настройка, где-то случайно уехал `.env` или токен, а где-то в образе сидит старая системная библиотека. Trivy всё это пытается поймать до того, как оно станет чьей-то головной болью.

Мне нравится, что у него очень понятная логика: **targets** — это что сканируем, **scanners** — это что ищем. То есть не магия, а довольно прямой инструмент. И это, между прочим, редкость: многие security-решения любят делать лицо умного тумана, а тут всё почти по-рабочему.

## Что это решает

Главная боль тут простая: безопасность обычно вспоминают слишком поздно. Когда образ уже в registry, конфиг уже задеплоен, а секрет уже светится в истории коммитов. Trivy как раз закрывает эту дыру между «ну мы потом проверим» и «ой, уже в проде».

Он полезен, если вы хотите быстро ответить на очень конкретные вопросы:
— что у нас сломано в контейнере?
— есть ли очевидные CVE, то есть известные уязвимости?
— не торчит ли в манифесте Kubernetes странная настройка?
— не утёк ли секрет в код?
— можно ли вообще жить с этими лицензиями?

И вот тут у Trivy есть сильная сторона: он один умеет проверять несколько слоёв сразу. Не идеально, не волшебно, но для нормального профилактического контроля — очень удобно.

## Как попробовать

Поставить его можно совсем без драмы. В README прямо есть нормальные варианты: через Homebrew, через Docker или бинарником с релиза.

Самый простой путь для быстрого теста:

```bash
brew install trivy
```

или:

```bash
docker run aquasec/trivy
```

Если нужен локальный бинарник, тоже можно скачать свежий релиз с GitHub.

Дальше проверка делается очень просто. Для контейнера:

```bash
trivy image python:3.4-alpine
```

Для папки с проектом:

```bash
trivy fs --scanners vuln,secret,misconfig myproject/
```

Тут `fs` — это файловая система, то есть просто папка с кодом.
`vuln` — уязвимости, `secret` — секреты, `misconfig` — ошибки конфигурации. Я проверила, и это как раз тот случай, когда три коротких слова полезнее десяти красивых обещаний.

Для Kubernetes:

```bash
trivy k8s --report summary cluster
```

То есть можно не только код ковырять, но и смотреть на состояние кластера в целом. Для новичка это, мне кажется, самая понятная точка входа: взял, запустил, увидел список проблем. Без многонедельного онбординга.

## 3 сценария с примерами

**Сценарий 1: вы собираете контейнер перед выкладкой.**
Задача: не выпустить образ с известной дырой.
Как применить: `trivy image myapp:latest` в CI или локально перед пушем.
Что получится: список уязвимых пакетов внутри образа, чтобы вы могли обновить базовый слой или пересобрать контейнер.

**Сценарий 2: у вас проект с Terraform или Kubernetes-манифестами.**
Задача: поймать небезопасную конфигурацию до деплоя.
Как применить: `trivy fs --scanners misconfig infra/` на папку с YAML и IaC-файлами — я погуглила, IaC значит infrastructure as code, то есть инфраструктура в виде кода.
Что получится: подсветка типовых косяков вроде открытых портов, слишком широких прав или странных дефолтов.

**Сценарий 3: вы боитесь случайно закоммитить токен или пароль.**
Задача: найти секреты в репозитории.
Как применить: `trivy fs --scanners secret .` или проверка удалённого репо, если процесс это позволяет.
Что получится: список подозрительных строк, которые потом нужно вручную проверить, потому что — и это важно — любой такой инструмент умеет и шуметь, и ошибаться.

## Где можно застрять

Вот тут я не буду делать вид, что всё идеально. Trivy очень полезный, но не волшебный.

Во-первых, он может выдавать ложные срабатывания. То есть что-то покажется секретом или уязвимостью, а по факту это безопасная строка или неактуальный матчинг. Придётся разбирать руками.

Во-вторых, coverage — это «покрытие», я проверила термин, — у него широкое, но не бесконечное. Не всё, не везде и не всегда одинаково хорошо определяется.

В-третьих, если вы хотите внедрить его глубже, в CI/CD или в Kubernetes, уже понадобится чуть больше техбэка: настройки, пороги, исключения, политика пропусков. То есть «поставил и забыл» тут не совсем работает.

И ещё момент: в README есть аккуратная подводка к коммерческим продуктам Aqua. Это нормальная история для open source-проекта с корпоративной оболочкой, но я бы не путала сам Trivy с маркетинговым слоем вокруг него. Полезность — в сканере, а не в красивой витрине.

## Кому это нужно

Тем, кто делает контейнеры и хочет хотя бы базовый security-барьер без тяжёлой платформы.
Тем, кто работает с Kubernetes и IaC и не хочет ловить банальные ошибки уже после деплоя.
Тем, кто строит DevSecOps-процесс — то есть когда безопасность вшита в разработку, а не приходит с грозным письмом после инцидента.

Ещё это хороший инструмент для тех, кто учится. Потому что он довольно наглядный: запускаешь — и сразу видишь, что именно не так. Не абстрактная теория, а конкретный список.

## Кому это не нужно

Если у вас нет контейнеров, инфраструктуры как кода и вообще ничего из этой зоны, Trivy просто будет лишним слоем шума.
Если вам нужен не сканер, а полноценное управление политиками и централизованный контроль рисков, Trivy сам по себе этого не заменит.
Если команда не готова разбирать результаты и чинить найденное, инструмент быстро превратится в генератор тревожных отчётов. А это, ну, сомнительное удовольствие.

## Вердикт Веры

Trivy мне нравится именно тем, что он не пытается быть умнее, чем нужно. Он просто берёт и ищет уязвимости, секреты и конфигурационные косяки там, где это реально случается. И это очень полезно.

Но я бы не продавала его как «универсальную защиту от всего». Скорее это хороший, честный рабочий нож: острый, удобный, местами шумный, но в нормальном процессе он экономит кучу нервов.

Если у вас есть контейнеры, Kubernetes или репозиторий с IaC — попробуйте поставить Trivy сегодня и прогнать хотя бы один образ и одну папку с конфигами. Это тот редкий случай, когда маленький тест быстро показывает, зачем инструмент вообще нужен.

## Что читать дальше

- [Все материалы про AI-агентов](/topics/ai-agents/)
- [Что такое AI-агент простыми словами](https://verapointmedia.com/guides/chto-takoe-ai-agent-prostymi-slovami/)
- [Все материалы про AI-инструменты](/topics/ai-tools/)
- [Как отличить рабочий AI-инструмент от красивой демки](https://verapointmedia.com/guides/kak-otlichit-rabochiy-ai-instrument-ot-krasivoy-demki/)

## Материалы

- [aquasecurity/trivy] aquasecurity/trivy: https://github.com/aquasecurity/trivy
- [trivy.dev] supporting context: https://trivy.dev
- [github.com] supporting context: https://github.com/aquasecurity/trivy/releases/latest/
- [github.com] supporting context: https://github.com/aquasecurity/trivy-action