Docker 擴大供應鏈強化陣容,CNCF 同步為 Falco、Kyverno 添吉祥物
Docker Blog、CNCF Blog · 2026-08-17
Docker 於 2026-08-17 發布部落格文章,宣布擴大 Docker Hardened Images(DHI) 供應鏈安全體系,新增系統套件強化、延伸支援期與政策治理三項能力。同一天,CNCF 官方部落格也為已畢業(Graduated)的 Falco 與 Kyverno 專案各自推出吉祥物,擴充 Phippy & Friends 家族。
Docker Hardened Images 新增系統套件強化與政策治理
此次更新的核心是 Docker Hardened System Packages:套件從上游原始碼建置、修補並維護,並取得 SLSA Build Level 3 建置管線認證,涵蓋範圍從原本的 Alpine 擴大到 Debian,Python 是首批完成完整強化的套件之一。DHI Enterprise 客戶可將這個開放套件庫用於自家映像檔建置,公開套件清單可於 Debian 索引 與 Alpine 索引 查閱。
第二項是 Extended Lifecycle Support(ELS),針對已終止維護(EOL)的軟體額外提供最長 5 年修補並維護對應 SBOM,MinIO(上游已於 2026 年 2 月封存)是最新納入案例,客戶亦可自行申請清單外套件。DHI 客製化流程同步新增 GitHub Actions 整合與 DHI Terraform provider,客製映像仍保留 SBOM 與 attestation,歐盟境內託管服務預計 2026 年 9 月上線。
治理面則是 Docker Scout 的政策執行功能:政策以 Rego 撰寫,可透過 CLI 與 CI 評估,且評估在本地完成、不會將資料送回 Scout 服務,內建七大類政策:
- 依嚴重程度篩選漏洞(含已有修補的 Critical/High CVE)
- 授權合規檢查
- 基礎映像是否為最新 digest
- 高風險漏洞名單(如 Log4Shell、Spring4Shell、XZ backdoor)
- SBOM 與 provenance attestation 是否存在
- 是否預設非 root 使用者
- 基礎映像是否在核准清單內
目前 DHI 目錄已收錄逾 4,000 個強化映像檔,每週拉取次數超過 350 萬次,並有超過 100 萬次例行建置用於持續修補,範圍也擴大到 Kubernetes Helm charts 與強化 MCP 伺服器映像檔。Scout 的政策執行功能已包含在既有 Docker 訂閱中,不另外收費。
CNCF 為 Falco 與 Kyverno 添加吉祥物 Falkey 與 Ky
CNCF 同日發布公告,為兩個雲原生安全專案新增角色:代表執行期威脅偵測專案 Falco 的獵鷹 Falkey,以及代表 Kubernetes 政策即程式碼專案 Kyverno 的大白熊犬 Ky。Falkey 是 Phippy 吉祥物家族第六隻鳥類角色,先前已有 Captain Kube、Owlina、Bitzy、Indigo、Kuack;Ky 佩戴指南針獎章象徵「Policy Guardian」,也是 CNCF 首隻家犬吉祥物。Phippy & Friends 家族目前已成長到 18 名成員。
兩個專案的畢業時程可對照如下:
| 項目 | Falco(Falkey) | Kyverno(Ky) |
|---|---|---|
| 加入 CNCF | 2018-10-10 | 2020-11-10 |
| 進入 Incubating | 2020-01-08 | 2022-07-13 |
| 畢業(Graduated) | 2024-02-29 | 2026-03-16 |
| 定位 | 執行期威脅偵測 | Kubernetes 政策即程式碼 |
本次更新純屬品牌識別擴充,不涉及程式碼或版本發布,但選在兩專案皆已取得 CNCF 最高成熟度等級後推出專屬吉祥物,反映其在雲原生安全與治理生態中的地位。
原始來源:Docker Blog - Make zero CVEs your new default、Docker Scout Policy 文件、CNCF Blog - Welcome Falkey and Ky、CNCF Falco 專案頁、CNCF Kyverno 專案頁