Docker는 보안에 민감한 조직들이 신뢰할 수 있는 콘텐츠를 기반으로 빌드를 시작할 수 있도록 Docker Hardened Images(DHI)를 무료로 제공하고 있다. DHI는 4,000개 이상의 최소 이미지와 65,000개 이상의 강화된 시스템 패키지를 포함하며, 지속적으로 유지 관리된다.
그러나 애플리케이션이 설치하는 오픈소스 패키지는 별도의 공급망 계층으로, pip, npm, Maven 같은 패키지 관리자를 통해 공개 저장소에서 직접 가져와 신뢰 검증이 어렵다. 이에 Docker는 1997년부터 오픈소스 보안을 담당해온 ActiveState와 협력해 패키지 수준까지 보안 기준을 확장했다.
이 통합 솔루션은 개발자와 AI 코딩 에이전트가 기존의 패키지 관리 워크플로우를 유지하면서도 승인된 의존성만을 정책 기반 저장소에서 가져오도록 하여, 공급망 공격 위험을 줄이고 보안팀에 일관된 증거 추적과 취약점 대응 SLA를 제공한다.
Docker Hardened Images는 서명된 SBOM과 SLSA Build Level 3 증명을 포함하며, ActiveState의 Curated Catalog는 정책으로 관리되는 승인된 오픈소스 패키지 저장소를 제공한다. 두 솔루션은 함께 소프트웨어 공급망 전반에 걸쳐 신뢰성과 보안성을 강화한다.
AI 코딩 에이전트가 빠른 개발을 지원하는 시대에, Docker와 ActiveState의 협력은 보안 부담을 줄이고 안전한 개발 경로를 제공하는 중요한 변화로 평가된다.
출처: Docker
