«Мы всё сканируем» — почему этого катастрофически мало для безопасности цепочки поставки ПО
Представьте: вы проверяете контейнерный образ, прогоняете его через сканер уязвимостей, получаете чистый результат — и выкатываете в продакшн. А через неделю выясняется, что вредоносный код приехал не из вашего репозитория, а из базового образа, который тянул зависимость, которую никто толком не ревьюил. Сканер всё это видел. Просто уже тогда, когда остановить компрометацию было почти невозможно.