原文標題：Docker and ActiveState Extending Secure Defaults to the Packages Developers Install
Docker於11月5日宣布與ActiveState合作，將容器基礎映像的安全管理延伸到應用程式安裝的開源套件。Docker Hardened Images負責映像內的系統套件與語言執行環境，ActiveState Curated Catalog則提供經企業政策核准的相依元件。配置完成後，開發者與程式開發智慧體仍可使用熟悉的pip、npm等流程，但套件來源改由受管理儲存庫提供，降低直接從公開登錄服務取得未核准版本的風險。
Docker表示，DHI提供簽署的SBOM與SLSA Build Level 3來源證明；付費方案另含特定修補承諾與客製化能力。ActiveState則從原始碼建置元件，提供完整物料清單與來源追蹤，並在上游修補可用後依服務承諾重新建置。企業既有Artifactory或Nexus可將Curated Catalog設為上游，不必因此放棄現有開發入口。官方強調，受管理來源不能取代版本固定、冷卻期及智慧體沙箱等控制，而是為這些措施提供更可追溯的基礎。兩家公司也互相轉售相關方案，實際修補期限、適用漏洞及合約費用仍須逐項確認，不能將映像與應用套件視為同一套承諾。
發生了什麼事
Docker與ActiveState將強化映像及Curated Catalog結合，讓基礎系統與應用套件都有受管理來源、SBOM及來源證明，同時保留常見套件工具流程。
為什麼重要
基礎映像安全不代表之後安裝的函式庫同樣可信。把治理延伸到應用相依元件，可讓企業更清楚追蹤核准版本、建置來源及修補責任。
影響哪些人
主要影響平台工程、軟體供應鏈與資安團隊，以及大量使用容器或程式開發智慧體的企業；既有套件儲存庫也需確認上游配置與政策。
已確認與未確認
已確認合作與雙向轉售安排。映像及套件的修補承諾並不相同，部分能力屬付費方案；受管理來源仍不能取代版本固定與沙箱等措施。
