Trivy vs Grype: CIにはどちらの脆弱性スキャナーを使うか？
どちらも高速なオープンソースの脆弱性スキャナーです。Trivyはより広範（イメージ、IaC、secrets）で、Grypeは焦点を絞りSBOM生成のためにSyftと組み合わせます。
Trivy（Aqua製）はコンテナイメージ、ファイルシステム、リポジトリの脆弱性に加え、設定ミス（IaC）、secrets、ライセンスをスキャンします。Grype（Anchore製）はSBOM生成のためにSyftと組み合わせる焦点を絞った脆弱性スキャナーで、精度とSBOM駆動のワークフローを重視します。
| Trivy | Grype | |
|---|---|---|
| 脆弱性スキャン | あり | あり |
| 範囲 | イメージ、IaC、secrets、ライセンス | 脆弱性（SBOM駆動） |
| SBOM | 生成 + スキャン | Syft経由（コンパニオンツール） |
| 設定ミス / IaCチェック | 組み込み | なし（別ツールを使用） |
| 最適な用途 | オールインワンのセキュリティゲート | 焦点を絞った脆弱性/SBOMワークフロー |
CIでは
Trivyは強力なオールインワンのゲートです。1つのツールでイメージのCVEをスキャンし、さらにIaCの設定ミス、secrets、ライセンスもチェックするため、パイプラインが簡素化されます。Grypeは脆弱性検出に焦点を絞り、Syftを使ったSBOM中心のワークフローで力を発揮します - SBOMを一度生成し、スキャンして、ステージ間で再利用できます。どちらも高速で無料、CIフレンドリーであり、深刻度のしきい値でビルドを失敗させることができます。
パイプライン向けの選択
脆弱性に加えてIaC/secrets/ライセンスをカバーする1つのツールが欲しいなら: Trivy。SBOMファーストのワークフロー（Syft + Grype）で焦点を絞った脆弱性スキャナーが欲しいなら: Grype。どちらでもデータベース/バージョンを固定し、CIで深刻度のしきい値を設定しましょう。
結論
オールインワンのスキャナー（脆弱性 + IaC + secrets）が欲しいなら: Trivy。Syftを使った焦点を絞ったSBOM駆動の脆弱性スキャナーが欲しいなら: Grype。どちらも堅実なCIゲートになります - 深刻度のしきい値を設定し、バージョンを固定しましょう。