kimi 无法直接扫描 docker 镜像漏洞，因其是大语言模型，无权访问本地 docker daemon、不能解析镜像文件系统或提取 sbom，也无法调用 docker scout api、nvd 或 osv 数据库，仅能基于训练数据做推测性回答，无法反映实时漏洞状态。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要在本地快速获取某个 Docker 镜像的最新漏洞扫描结果，但不想登录 Docker Hub、不依赖远程仓库推送、也不愿部署 Clair 或 Trivy 服务——Kimi 本身不能直接联网调用 Docker Scout API 或实时抓取漏洞数据库，它无法替代专用安全工具执行镜像解析与 CVE 匹配。
为什么不能用 Kimi 直接扫描 Docker 镜像漏洞
Kimi 是大语言模型，不具备访问本地 Docker daemon 的权限，也不能读取镜像文件系统层、提取 SBOM（软件物料清单）或比对 OSV/CVE 数据库。它无法执行 docker scout cves 命令背后的真实扫描动作。
所谓“Kimi 联网扫描”是误解：Kimi 的联网功能仅用于检索公开网页信息（如文档、博客、公告），【它不会发起对 Docker Hub、NVD 或 OSV 的 API 请求，也无法拉取或解析你的私有镜像】。你传给它的镜像名（如 nginx:1.25.3）仅作为文本输入，它只能基于训练数据中截至 2025 年底的通用知识做推测性回答，无法反映该镜像在 2026 年 5 月 28 日的真实漏洞状态。
正确做法：用 Docker Scout CLI 本地直扫
这是目前最轻量、官方支持、无需推送镜像到远程仓库即可获得权威漏洞报告的方式。
第一步：确保已安装 Docker Desktop 4.30+ 或 Docker Engine 25.0+，并启用 Scout 插件：
docker scout enable
第二步：对本地已有镜像执行扫描（例如你刚 build 完的 myapp:dev）：
docker scout cves myapp:dev
第三步：导出结构化报告供进一步分析：
docker scout cves myapp:dev --format json > report-$(date +%Y%m%d).json
这一步会触发本地镜像上传至 Docker 安全后端进行分析（传输内容仅为元数据与哈希，不含敏感文件），5–30 秒内返回含 CVE 编号、CVSS 评分、修复建议的完整结果。输出默认为表格，适合人眼速查；JSON 格式可被脚本解析，用于 CI 中自动拦截高危漏洞。
替代方案：Trivy 离线快速扫描
方法一：使用二进制安装的 Trivy（无需 Docker 守护进程）
下载最新版 Trivy CLI（支持离线模式缓存漏洞库）：
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh -s -- -b /usr/local/bin v0.49.2
扫描本地镜像（自动拉取并缓存漏洞数据库）：
trivy image --severity CRITICAL,HIGH myapp:dev
方法二：用 Trivy 扫描镜像 tar 归档（完全离线，适合 air-gapped 环境）
先保存镜像为 tar：
docker save myapp:dev -o myapp-dev.tar
再离线扫描：
trivy image --input myapp-dev.tar --severity CRITICAL,HIGH
注意：【首次运行 trivy 会下载约 1.2GB 漏洞数据库，后续复用本地缓存，无需联网】。
