原文標題：ActiveState Partners with Docker to Secure the Open Source in Enterprise Containers

Docker 10 月 22 日宣布與 ActiveState 合作，將 Docker Hardened Images（DHI）與 ActiveState Curated Catalog 結合，協助企業同時控制容器基底映像與其上安裝的開源相依套件。這項合作採轉售模式，官方表示已經提供。

Docker 引述一份針對北美 250 名 DevSecOps 主管的調查指出，91% 將容器元件可視性列為主要盲點，90% 的團隊仍使用只做少量修改、缺乏充分強化的公開映像。Docker 認為，僅將基底映像強化不足以涵蓋應用程式後續加入的 Python、JavaScript 或其他套件；尤其在 AI 程式助手加快新增依賴的情況下，軟體供應鏈需要跨層治理。

DHI 提供超過 4,000 個由原始碼建置的最小化映像，並附帶簽署的軟體物料清單（SBOM）及 SLSA Build Level 3 來源證明。Docker 表示其映像設計目標為接近零 CVE，目錄以 Apache 2.0 授權免費開放；生產環境方案則針對重大與高風險 CVE 提供七天的服務承諾。

ActiveState 方面提供跨十多種語言生態系的精選套件，包括 Python、JavaScript、Java、Perl、Tcl 與 Ruby。官方稱套件由原始碼建置、持續維護並依合約承諾修復，且能透過現有套件管理工具、CI/CD 流程、IDE 與 AI 編碼工具交付。

雙方主張這種組合可讓基底與相依套件都具備可驗證來源。Docker 宣稱 DHI 能縮減 95% 攻擊面，ActiveState 宣稱其套件相較社群開源元件減少 95% CVE、修補速度快 90%，重大漏洞服務承諾為五天。這些是廠商公布的比較數字，實際效果仍取決於企業的映像選型、套件組合與導入流程。

發生了什麼事

Docker 與 ActiveState 把強化容器基底和受管理的開源套件整合，合作方案已可提供企業使用。

為什麼重要

容器風險不只來自基底映像，應用層套件同樣可能帶入漏洞；來源證明與持續修補能改善供應鏈追溯。

影響哪些人

大量使用容器、維護 CI/CD 與軟體物料清單的 DevSecOps、平台工程和資安團隊，可評估這種跨層供應鏈管理方式。

已確認與未確認

已確認合作模式、4,000 多個映像、語言涵蓋範圍與服務承諾；95% 等改善數據屬官方宣稱，未提供所有客戶部署情境的獨立驗證。