Как проверить докер контейнер на вредоносность?

Question

[Jek]

Привет. Прочитал на хабре статью по созданию голосового помощника через alphacephei.com vosk, Поискал в гугле про эту компанию и ничего не нашел кроме их сайта, возник вопрос насколько безопасно пользоваться их образом для докера и их модулем для питона? И тут же возник вопрос как вообще определять вредоносный софт распространяемый через докер хаб или pypi?

Answer 1

[Сергей Горностаев]

Никак. Все публичные репозитории опасны. В случае PyPI только лично проверять исходный код каждой версии. С докером всё ещё сложнее.

Answer 2

[Dim Boy]

Как минимум стоит пользоваться офф источниками образов от разрабов.

Answer 3

[Filipp42]

Можно проверить антивирусом ClamAV, также попробуйте запустить контейнер в песочнице и посмотреть, не натворит ли он делов. А если открыть исходник, то можно собрать программу самому, но тут следует заметить, что даже открытый код без проверки может быть опасен (хотя я не думаю что кто то станет подставляться).