比較
Stella Ops 與 Trivy
Trivy 是掃描器：它能掃描幾乎任何你指向的目標。Stella Ops 是非 Kubernetes 環境的發行控制平面：它將容器摘要的發現轉化為有門檻、簽署且可重播的發行決策。許多環境資產同時經營兩者。
範圍說明：此比較也涵蓋 Grype 級掃描器——同樣的類別差異適用於 Grype 與 Syft 基礎管線。
最後審閱：2026-07-26
Decision criteria
How this comparison is evaluated
Each vendor page is scored against the same five technical dimensions for consistent decision support.
- Deployment model: Target coverage, self-hosting posture, and runtime assumptions.
- Evidence model: How decisions are justified, signed, and exported for review.
- Replayability: Ability to re-run historical decisions with identical inputs.
- Offline capability: Behavior in disconnected or sovereign environments.
- Policy model: Gate expressiveness, explainability, and workflow integration.
Proof and methodology links: Full market matrix | Evidence and Audit | Operations and Deployment | Decision Capsule spec
不同類別：發現與決策
- Trivy — 回答「這件產出物裡面有什麼？其中哪些是已知的脆弱？」。它的輸出是一份檢查結果清單，你可以在其他地方分流。
- Stella Ops — 回答：「願本摘要推進到這個環境，我們能證明原因嗎？」其產出是與簽署證據相關的決定。
兩者都可以在同一堆疊中成立。Stella 引進 Trivy、Syft 和 Grype 生產的 SBOM，因此採用其中一種並不等於放棄另一種。
功能比較
| 功能 | Trivy | Stella Ops |
|---|---|---|
| 部署模型 | 單二進位掃描器，涵蓋容器映像檔、檔案系統、git 儲存庫、虛擬機映像檔、Kubernetes 叢集及SBOM軟體物料清單 - 軟體中所有套件和相依性的完整列表輸入。部署協調不在範圍之外。 | 非 Kubernetes 環境的自架版本控制平面：Docker Compose、SSH/WinRM 主機。它掃描容器映像檔和匯入的 SBOM，不會掃描儲存庫、虛擬機或叢集。 |
| 證據模型 | 人類與管線報告：JSON、SARIF 及 SBOM 輸出（CycloneDX業界廣泛使用的軟體物料清單（SBOM）開放標準格式，SPDX軟體套件資料交換 - 另一種廣泛用於開源的SBOM開放標準格式）。 | 簽名DSSEDead Simple Signing Envelope - 用於以加密簽章簽署任意資料的簡單靈活標準產出物：可達性圖、判決，以及可匯出的 Decision Capsule簽名的可匯出證據包，封裝發行決策的每個輸入和輸出，用於離線稽核和確定性重播 套件。 |
| 可重播性 | N/S — Trivy 的公開文件中並未說明重播清單，重播過去置頂輸入的決策。在我們對 Trivy v0.55 的原始回顧中，發現追蹤了掃描時的諮詢資料庫狀態。 | 確定性重播清單會固定建議快照、政策與分析器版本，因此過去的判決可以逐位重跑並比較。 |
| 離線能力 | 是的——漏洞資料庫可以被映像，用於斷開掃描。 | 是的——密封的警示快照；每個判決記錄其計算時的快照，使空隔區與連接區的地段相等。 |
| 政策模型 | 嚴重度門檻與退出程式碼;VEX漏洞可利用性交換 - 關於漏洞是否在您的情境中實際可利用的機器可讀聲明陳述會過濾報告中的發現。 | 閘門結合了 Reachability分析證明易受攻擊的程式碼是否確實被您的應用程式呼叫——過濾掃描器雜訊中的誤報、VEX漏洞可利用性交換 - 關於漏洞是否在您的情境中實際可利用的機器可讀聲明 決策與晉級規則。不同簽發方之間相互矛盾的陳述依 K4 裁決——即 Belnap 四值邏輯，一條陳述的取值為 True、False、Unknown 或 Conflict——因此矛盾會被記錄為衝突，而不是讓某一方悄悄勝出。未知是有記錄、有預算的狀態，從不隱藏。 |
是 = 原生能力 | 部分 = 受限範圍 | 否 = 未提供 | N/S = 公開文件中未說明
實測結果：四款掃描器、872 個專案
從 1,002 個開源專案清單中評分了 872 個專案，每個專案都從原始碼建置為容器映像檔，並以完全相同的輸入交給四款工具掃描。最近一次評分：2026 年 7 月 3 日。發現如何進行真值標註、哪些內容被排除，見本頁底部的方法說明。
發現 96.3% 的公告已宣告受影響漏洞——Trivy 發現 54.6%。
當已發布的公告指明你的版本受影響時，Stella Ops 會回報它。更少的已知問題在無人察覺的情況下進入正式環境。
在整個語料庫中辨識出 476,865 個軟體套件——Trivy 辨識出 304,230 個。
掃描器看不見的軟體套件，沒有人能檢查。Stella Ops 能看到映像中實際存在的更多內容。
| 指標 | Stella Ops | Trivy | Grype | osv-scanner |
|---|---|---|---|---|
| 發現的公告宣告受影響漏洞* 已發布的公告指明正是這個版本受影響。工具回報它了嗎？ | 96.3% | 54.6% | 70.3% | 89.2% |
| 在映像中發現的軟體套件 在整個語料庫中辨識出的不同作業系統、語言與二進位軟體套件（PURL）。 | 476,865 | 304,230 | 未評分 | 未評分 |
* 該指標的真值標籤來自 Stella Ops 比對引擎所讀取的同一公告庫，因此該層級在構造上偏向 Stella Ops——我們的基準程式碼正是這樣歸類它的。語料庫與評分規則均已公開，因此本次執行可以被複現。
誤報控制四方並列於 1.00：沒有任何工具產生已確認的誤報。本次執行僅對 Stella Ops 與 Trivy 評估了軟體套件發現。
Snyk 未參與本次執行；我們沒有與 Snyk 的實測比較。專案集、評分規則、稽核規則與每個專案的產物發布在產品儲存庫的 tools/benchmarks/stella-vs-trivy/ 目錄下。
何時使用哪個
當 Trivy 是更好的選擇時
選擇 Trivy——或者保留它——當掃描廣度是必要的時：
- 你需要一個二進位檔，掃描容器映像檔、檔案系統、git 儲存庫、虛擬機映像檔、Kubernetes 叢集和現有的 SBOM。
- 你需要在同一個過程中進行錯誤設定、秘密或授權掃描。
- 你重視一個龐大的外掛和 IDE 生態系統，以及廣泛的 CI 範例。
- 你偏好 Apache 2.0授權。（Stella Ops為 BUSL-1.1，來源可取得。）
Stella Ops 不會掃描 git 儲存庫、虛擬機映像檔或 Kubernetes 叢集，也不會在產出物內部進行秘密發現。要達到這樣的覆蓋範圍，你需要像 Trivy 這樣的掃描器——不論背後有沒有Stella。
當Stella Ops是更好的選擇時
當問題不是「什麼是脆弱？」而是「願這艘船出動，我們能證明原因嗎？」時，選擇Stella：
- 判決必須可重演：確定性重播會顯示每個輸入，因此數月前的決策能被重現並驗證。
- 結果必須依可利用性排序：簽名可達性圖（
DSSEDead Simple Signing Envelope - 用於以加密簽章簽署任意資料的簡單靈活標準）證明易受攻擊程式碼是否位於你的應用可執行的路徑上。 VEX漏洞可利用性交換 - 關於漏洞是否在您的情境中實際可利用的機器可讀聲明應當決定，而非壓制：依信任加權的衝突裁決讓分歧陳述保持可見，而不是刪除發現。- 不確定性必須保持可見：未知是一級且有預算的國家，而非無聲的缺口。
- 空缺的地產需要平等：密封的警示快照線上下與線上都能產生相同的結論。
兩者都用：Trivy 是廣度，Stella 是決策
替代並非唯一的故事。保留 Trivy 來涵蓋儲存庫、虛擬機、Kubernetes、秘密及錯誤設定。匯出其SBOM軟體物料清單 - 軟體中所有套件和相依性的完整列表，讓Stella計算經過可達性過濾、政策門檻的判決——以及簽署的證據——以供你推進的摘要。
將 Trivy 產生的SBOM匯入 Stella 掃描：
$ stella sbom check --sbom trivy.json
產品主控台（v1.0-RC1）所示指令。
方法： Feature statements come from each vendor's public documentation plus a source review of the release named on this page. Measured statements come from our own scanner benchmark, last scored on 3 July 2026: 872 scored projects from a 1,002-project open-source manifest, each built from source into a container image and scanned by Stella Ops, Trivy, Grype and osv-scanner from identical inputs. Scoring is against a rule-derived truth label — the advisory's own affected version range, or agreement between independent advisory lineages — never against another scanner's output. Findings the rules cannot resolve are excluded from precision and recall and reported as coverage instead; projects that failed to build, and scans that failed to run, are excluded rather than counted as wins. On that run Stella Ops led advisory-range recall and package discovery, and tied on confirmed false positives. We have no measured comparison against Snyk. The corpus, the scoring rules and the raw counts are published in the product repository under tools/benchmarks/stella-vs-trivy/. Capabilities change; verify current behaviour with each vendor. 重玩價值聲明基於對 Trivy v0.55 的來源審查；其他Trivy細胞則反映出Trivy的公開文件。
如果你認為某些資訊過時或不正確，請聯絡 hello@stella-ops.org。
在你自己的摘要中比較一下
用兩個工具掃描同一張影像。將發現清單放在可達性篩選的判決及其匯出證據旁，並自行判斷差異。