Docker 与 ActiveState 达成转售合作：加固镜像叠加可治理开源组件

Docker, Inc. 与 ActiveState 于 2026 年 10 月 22 日宣布转售合作，把 Docker Hardened Images（DHI） 与 ActiveState 策展开源组件目录打通，让企业在「容器基础镜像」和「叠加上去的语言依赖」两侧都能走更一致的可信来源。[1]

Docker 援引一项对 250 名北美 DevSecOps 负责人的调查：91% 将「容器组件可见性」列为最大盲区——问题往往不在基础镜像本身，而在其上叠加的内容；90% 仍在运行几乎未加固的公共镜像。同时，AI 编程助手加速引入依赖、漏洞库跟不上提交量，以及包括欧盟《网络弹性法案》在内的合规要求，都在推高供应链透明与漏洞处置预期。[1]

DHI 侧提供默认更安全的最小镜像：宣称 4000+ 镜像从源码构建、近零 CVE、签名 SBOM、SLSA Build Level 3 出处证明；目录以 Apache 2.0 开源，生产档对严重/高危 CVE 提供 7 日 SLA。ActiveState 则把策展组件覆盖到 Python、JavaScript、Java、Perl、Tcl、Ruby 等十多个语言生态，同样从源码构建、按合同 SLA 持续修复，并通过团队已有的包管理器、流水线、IDE 与 AI 编码工具分发。[1]

双方强调的组合收益包括：基础镜像与依赖层用同一套「可验证出处」思路管理；DHI 宣称近零 CVE、攻击面约缩小 95%、严重/高危 7 日 SLA；ActiveState 宣称相对社区开源 CVE 更少、修复更快，严重漏洞 5 日 SLA。合作现已可用，具体采购与集成入口以 Docker 合作页为准。[1]

说明：文中 CVE 比例、SLA 与调查数据均转述 Docker 博文口径，实际效果以合同与环境扫描结果为准。

来源

[1] ActiveState Partners with Docker to Secure the Open Source in Enterprise Containers，Docker Blog / Jennifer Angeles，2026年10月22日。

#Docker #ActiveState #容器安全 #SBOM #供应链