Comparación
Stella Ops frente a Trivy
Trivy es un escáner: produce hallazgos en casi cualquier cosa a la que apuntes. Stella Ops es un plano de control de liberación para infraestructuras sin Kubernetes: convierte los hallazgos sobre el contenedor digests en decisiones de liberación cerradas, firmadas y reproducibles. Muchas fincas administran ambos.
Nota de alcance: esta comparación también cubre los escáneres de clase Grype; la misma diferencia de categoría se aplica a los pipelines basados en Grype y Syft.
Última revisión: 2026-07-26
Decision criteria
How this comparison is evaluated
Each vendor page is scored against the same five technical dimensions for consistent decision support.
- Deployment model: Target coverage, self-hosting posture, and runtime assumptions.
- Evidence model: How decisions are justified, signed, and exported for review.
- Replayability: Ability to re-run historical decisions with identical inputs.
- Offline capability: Behavior in disconnected or sovereign environments.
- Policy model: Gate expressiveness, explainability, and workflow integration.
Proof and methodology links: Full market matrix | Evidence and Audit | Operations and Deployment | Decision Capsule spec
Diferentes categorías: hallazgos versus decisiones
- Trivy — responde "¿qué hay dentro de este artefacto y qué se sabe que es vulnerable?". Su resultado es una lista de hallazgos que usted clasifica en otro lugar.
- Stella Ops — responde "¿se puede promover este digest a este entorno y podemos demostrar por qué?". Su resultado es una decisión vinculada a la evidencia firmada.
Ambos pueden ser ciertos en una pila. Stella importa SBOMs producidos por Trivy, Syft y Grype, por lo que adoptar uno no significa descartar el otro.
Comparación de características
| Capacidad | Trivy | Stella Ops |
|---|---|---|
| Modelo de despliegue | Escáner binario único para imágenes de contenedores, sistemas de archivos, repositorios git, imágenes VM, clústeres Kubernetes y entradas SBOMSoftware Bill of Materials – una lista completa de todos los paquetes y dependencias de su software. DesplegarLa orquestación de ment está fuera del alcance. | Autohospedado plano de control de liberación para infraestructuras sin Kubernetes: Docker Compose, SSH/WinRM hosts. Escanea imágenes de contenedores y SBOMs importados; no escanea repositorios, máquinas virtuales ni clústeres. |
| Modelo de evidencia | Informes para humanos y tuberías: salida JSON, SARIF y SBOM (CycloneDXUn formato estándar abierto para SBOM utilizado en toda la industria, SPDXSoftware Package Data Exchange – otro formato estándar abierto para SBOMs, ampliamente usado en código abierto). | DSSEDead Simple Signing Envelope – un estándar simple y flexible para firmar datos arbitrarios con firmas criptográficas artefactos firmados: gráficos de alcanzabilidad, veredictos y paquetes Decision CapsuleUn paquete de evidencia firmado y exportable que sella cada entrada y salida de una decisión de lanzamiento para auditoría offline y reproducción determinista exportables. |
| Reproducibilidad | N/S: un manifiesto de repetición que vuelve a ejecutar una decisión pasada sobre entradas fijadas no figura en la documentación pública de Trivy. En nuestra revisión de la fuente de Trivy v0.55, los hallazgos rastrearon el estado de la base de datos de asesoramiento en el momento de la exploración. | Los manifiestos de reproducción deterministas fijan la instantánea de asesoramiento, la política y las versiones del analizador, de modo que un veredicto anterior se pueda volver a ejecutar y comparar bit por bit. |
| Capacidad offline | Sí, la base de datos de vulnerabilidades se puede duplicar para realizar un análisis desconectado. | Sí, instantáneas de aviso selladas; cada veredicto registra la instantánea a partir de la cual se calculó, dando a infraestructuras aisladas paridad con los conectados. |
| Modelo de politicas | Umbrales de gravedad y códigos de salida; Las declaraciones VEXVulnerability Exploitability eXchange – declaraciones legibles por máquina sobre si las vulnerabilidades son realmente explotables en su contexto filtran los resultados de los informes. | Las puertas combinan Alcanzabilidad, decisión VEXVulnerability Exploitability eXchange – declaraciones legibles por máquina sobre si las vulnerabilidades son realmente explotables en su contexto y reglas de promoción. Las afirmaciones contradictorias de los emisores se resuelven con K4: la lógica tetravalente de Belnap, en la que una afirmación es True, False, Unknown o Conflict, de modo que una contradicción queda registrada como conflicto en lugar de que un lado gane en silencio. Las incógnitas son un estado rastreado y presupuestado, nunca oculto. |
Sí = capacidad nativa | Parcial = alcance restringido | No = no proporcionado | N/S = no indicado en la documentación pública
Resultados medidos: cuatro escáneres, 872 proyectos
872 proyectos de un manifiesto open source de 1.002 proyectos, cada uno construido desde el código fuente como imagen de contenedor y analizado por las cuatro herramientas con entradas idénticas. Última puntuación: 3 de julio de 2026. Cómo se etiquetan las detecciones y qué se excluye se describe en la nota metodológica al final de esta página.
96,3 % de las vulnerabilidades declaradas por los avisos detectadas — Trivy detectó 54,6 %.
Cuando un aviso publicado señala su versión como afectada, Stella Ops la informa. Menos problemas conocidos llegan a producción sin verse.
476.865 paquetes identificados en todo el corpus — Trivy identificó 304.230.
Un paquete que ningún escáner ve es un paquete que nadie puede comprobar. Stella Ops ve más de lo que realmente contiene la imagen.
| Medida | Stella Ops | Trivy | Grype | osv-scanner |
|---|---|---|---|---|
| Vulnerabilidades declaradas por los avisos detectadas* El aviso publicado señala exactamente esta versión como afectada. ¿La informó la herramienta? | 96,3 % | 54,6 % | 70,3 % | 89,2 % |
| Paquetes detectados en la imagen Paquetes de SO, de lenguaje y binarios distintos (PURL) identificados en todo el corpus. | 476.865 | 304.230 | sin puntuar | sin puntuar |
* Las etiquetas de verdad de esta medida proceden del mismo almacén de avisos que lee el propio motor de correspondencia de Stella Ops, por lo que este nivel favorece a Stella Ops por construcción: nuestro código de benchmark lo clasifica así. El corpus y las reglas de puntuación están publicados, de modo que la ejecución puede reproducirse.
El control de falsos positivos terminó en 1,00 con empate a cuatro: ninguna herramienta produjo un falso positivo confirmado. El descubrimiento de paquetes solo se puntuó para Stella Ops y Trivy en esta ejecución.
Snyk no formó parte de esta ejecución; no tenemos ninguna comparación medida con Snyk. El corpus, las reglas de puntuación, las reglas de auditoría y los artefactos por proyecto están publicados en el repositorio del producto bajo tools/benchmarks/stella-vs-trivy/.
Cuándo usar cuál
Cuando Trivy es la mejor opción
Elija Trivy, o consérvelo, cuando el ancho de escaneo sea el requisito:
- Quiere un binario que escanee imágenes de contenedores, sistemas de archivos, repositorios git, imágenes VM, clústeres Kubernetes y SBOM existentes.
- Necesita un escaneo de configuración incorrecta, secreto o licencia en la misma ejecución.
- Valora un complemento grande y un ecosistema IDE con ejemplos amplios CI.
- Prefiere la licencia Apache-2.0. (Stella Ops es BUSL-1.1, con código fuente disponible.)
Stella Ops no escanea repositorios git, imágenes VM o clústeres Kubernetes, y no realiza descubrimientos secretos dentro de artefactos. Para esa cobertura necesita un escáner como Trivy, con o sin Stella detrás.
Cuando Stella Ops es la mejor opción
Elija Stella cuando la pregunta no sea "¿qué es vulnerable?" pero "¿puede este barco, y podemos probar por qué?":
- Los veredictos deben poder volver a ejecutarse: los manifiestos de repetición deterministas fijan cada entrada, de modo que se pueda reproducir y verificar una decisión de hace meses.
- Los hallazgos deben clasificarse según su explotabilidad: los grafos de alcanzabilidad firmados (
DSSEDead Simple Signing Envelope – un estándar simple y flexible para firmar datos arbitrarios con firmas criptográficas) evidencian si el código vulnerable se encuentra en una ruta que su aplicación puede ejecutar. VEXVulnerability Exploitability eXchange – declaraciones legibles por máquina sobre si las vulnerabilidades son realmente explotables en su contextodebe decidir, no suprimir: una resolución de conflictos ponderada por confianza mantiene visibles las declaraciones en desacuerdo en lugar de eliminar los hallazgos.- La incertidumbre debe seguir siendo visible: lo desconocido es un estado presupuestado de primera clase, no una brecha silenciosa.
- Las infraestructuras aisladas necesitan paridad: las instantáneas de aviso selladas producen los mismos veredictos fuera de línea que en línea.
Utilice ambos: Trivy para amplitud, Stella para decisiones
El reemplazo no es la única historia. Mantenga Trivy para el repositorio, VM, Kubernetes, secreto y cobertura de configuración incorrecta. Exporte su SBOMSoftware Bill of Materials – una lista completa de todos los paquetes y dependencias de su software y deje que Stella calcule el veredicto alcanzabilidad filtrado y sujeto a políticas (y la evidencia firmada) para el digests que promueve.
Importe un SBOM generado por Trivy en un escaneo Stella:
$ stella sbom check --sbom trivy.json
Comandos como se muestran en la consola del producto (v1.0-RC1).
Metodología: Feature statements come from each vendor's public documentation plus a source review of the release named on this page. Measured statements come from our own scanner benchmark, last scored on 3 July 2026: 872 scored projects from a 1,002-project open-source manifest, each built from source into a container image and scanned by Stella Ops, Trivy, Grype and osv-scanner from identical inputs. Scoring is against a rule-derived truth label — the advisory's own affected version range, or agreement between independent advisory lineages — never against another scanner's output. Findings the rules cannot resolve are excluded from precision and recall and reported as coverage instead; projects that failed to build, and scans that failed to run, are excluded rather than counted as wins. On that run Stella Ops led advisory-range recall and package discovery, and tied on confirmed false positives. We have no measured comparison against Snyk. The corpus, the scoring rules and the raw counts are published in the product repository under tools/benchmarks/stella-vs-trivy/. Capabilities change; verify current behaviour with each vendor. Las declaraciones de rejugabilidad se basan en una revisión de las fuentes de Trivy v0.55; otras celdas de Trivy reflejan la documentación pública de Trivy.
Si crees que alguna información está desactualizada o es incorrecta, contacta a hello@stella-ops.org.
Compara uno propio digests
Escanee la misma imagen con ambas herramientas. Coloque la lista de hallazgos junto al veredicto filtrado alcanzabilidad y su evidencia exportada, y juzgue la diferencia según su propio artefacto.