安全团队花了大力气加固基础镜像，却常常说不清镜像之上到底跑了什么。一项针对250名北美DevSecOps负责人的调查显示，91%的人把容器组件的可见性列为最大的盲区——盲区不在基础镜像，而在叠加于其上的所有东西。另有90%的受访者表示，团队仍在使用几乎未经加固的公开镜像。

打开网易新闻 查看精彩图片

这个缺口正在变得更难忽视。AI编程助手添加依赖的速度，已经快过团队审核的速度；漏洞数据库跟不上提交量的增长；包括欧盟《网络弹性法案》在内的新监管要求，也在抬高对漏洞处理、修复和软件供应链透明度的期待。

Docker公司与ActiveState宣布了一项转售合作，把Docker加固镜像（DHI）与ActiveState精选的开源软件包放在一起，让企业能用更一致的方式，同时守住容器基础层和叠加其上的软件依赖。

DHI提供默认安全的最小化容器镜像：4000多个镜像从源码构建，接近零CVE，带签名的SBOM，以及SLSA构建三级来源证明。该目录以Apache 2.0协议免费开源，生产层级对严重和高危CVE提供7天SLA。

ActiveState则把这份可信基础延伸到开发者自行添加的开源依赖上。其精选组件覆盖十多个语言生态，包括Python、JavaScript、Java、Perl、Tcl和Ruby。组件从源码构建，持续维护，并按合同SLA修复，通过开发团队已在使用的包管理器、流水线、IDE和AI编程工具交付。

双方给出的组合价值集中在三点：

  • 更一致的可信开源路径：加固容器基础层搭配精选开源依赖，减少逐层单独采购和管理的负担
  • 全栈可验证的来源：Docker与ActiveState都按SLSA构建三级标准从源码构建，供应链上的证据链更连贯
  • 更少漏洞且不拖慢团队：DHI接近零CVE、攻击面缩小95%、严重和高危CVE享7天SLA；ActiveState相比社区开源CVE少95%、修复快90%，严重漏洞享5天SLA

这项转售合作已经可用。