Компрометация Trivy: почему это важно для DevSecOps и как мы закрываем такой риск в Apsafe

В марте 2026 года экосистема Trivy пережила supply chain-инцидент. Согласно официальному advisory компании Aqua Security, злоумышленник использовал скомпрометированные учетные данные для публикации вредоносного релиза Trivy v0.69.4, перепривязки большинства тегов trivy-action к credential-stealing malware и замены тегов setup-trivy. Позднее были опубликованы и вредоносные Docker Hub образы v0.69.5 и v0.69.6.Практический смысл этого кейса заключается в том, что компрометация затронула не один контейнерный образ, а сразу несколько официальных каналов доставки. Для команды разработки из этого следует неприятный, но важный вывод: внешний security-инструмент не становится доверенным только потому, что он популярен, официально поддерживается или связан с безопасностью.