Docker y ActiveState extienden los valores seguros por defecto a los paquetes que instalan los desarrolladores

Docker ha anunciado una asociación con ActiveState, empresa que según el propio artículo lleva asegurando software de código abierto desde 1997, para extender su estándar de contenido confiable más allá de las imágenes de contenedor y llevarlo a los paquetes de código abierto que las aplicaciones instalan en tiempo de compilación. El anuncio, publicado el 5 de noviembre de 2026 por Vishrut Iyengar, responsable de marketing de producto de seguridad en Docker, es un texto con un claro componente comercial, por lo que conviene leer las cifras y promesas como afirmaciones del proveedor.

El punto de partida son las Docker Hardened Images (DHI). Según el artículo, son de código abierto bajo licencia Apache 2.0 y forman un catálogo de más de 4.000 imágenes mínimas, construidas desde el código fuente y mantenidas de forma continua por Docker. El catálogo incluye además charts de Helm personalizables y más de 65.000 paquetes de sistema endurecidos. Docker sostiene que, para la mayoría de los servicios, adoptarlas es tan sencillo como cambiar la línea FROM del Dockerfile, y que las imágenes pueden alcanzar un número de CVE conocidas cercano a cero, lo que reduce el trabajo de remediación y el ruido de los escáneres.

El argumento central es que, sobre la imagen base, hay otra capa de la cadena de suministro: las librerías que pip, npm o Maven descargan de registros públicos, donde la confianza se presupone y rara vez se verifica. A esto se suma que los agentes de programación con IA también instalan esos paquetes. El texto cita un artículo de abril de Mark Lechner, CISO, según el cual una dependencia comprometida descargada por un agente tiene el mismo radio de impacto que una máquina de desarrollador comprometida.

El artículo menciona varios incidentes recientes. Afirma que, cuando la campaña TeamPCP convirtió en arma un escáner de seguridad ampliamente utilizado en marzo, las DHI no se vieron afectadas gracias a su pipeline de construcción controlado y a los periodos de espera (cooldown) para dependencias. También cita el compromiso de axios a principios de año, con dos versiones con puerta trasera de una librería descargada 83 millones de veces por semana que estuvieron en circulación unas tres horas. La lección que extrae es que muchos de estos ataques se extinguen en horas, pero una compilación que resuelve dependencias directamente del registro público, sin lockfile ni cooldown, queda expuesta a versiones publicadas hace apenas una hora; y que el fallo lento es la vulnerabilidad que aparece meses después sin que nadie fuera del equipo sea responsable de corregirla.

Sobre las garantías de cada capa, Docker indica que cada DHI incluye un SBOM firmado, procedencia SLSA Build Level 3 y visibilidad completa de CVE sin supresiones. En los niveles de pago añade un SLA de 7 días para CVE críticas y altas, variantes FIPS y STIG, y personalización segura.

Por su parte, ActiveState aporta su Curated Catalog: un repositorio privado y gobernado por políticas con los componentes de código abierto que los equipos de seguridad aprueban y que desarrolladores y asistentes de programación con IA consumen. Según el texto, ActiveState compila cada componente desde el código fuente original en un entorno SLSA Level 3, con procedencia completa y SBOM completos, en lugar de usar binarios precompilados de un registro público. Cuando aparece una corrección upstream, reconstruye y publica el componente automáticamente, con SLA de 5 días laborables para CVE críticas y 10 para las de severidad alta.

En la práctica, el repositorio de artefactos que los equipos ya usan, como Artifactory o Nexus, se configura para apuntar al Curated Catalog como upstream, igual que hoy apunta a PyPI. Los desarrolladores mantienen sus flujos con pip y npm, y los agentes reciben la versión gobernada de las dependencias. El artículo aclara que esto no sustituye los digests fijados, los periodos de cooldown ni los agentes en sandbox que recomienda Lechner, sino que da a esos controles una fuente gobernada a la que apuntar.

En el plano comercial, el acuerdo es recíproco: Docker revende ahora el Curated Catalog de ActiveState junto con las DHI, y ActiveState revende las DHI a sus clientes. Así, tanto la imagen endurecida como los paquetes construidos sobre ella se pueden adquirir a través de Docker.

El mensaje de fondo es que los agentes de IA aceleran la creación de software, la selección de dependencias y el lanzamiento de compilaciones a un ritmo para el que los procesos de revisión tradicionales no fueron diseñados, y que esa velocidad no debería traducirse en aceptar más riesgo de cadena de suministro sin control. Docker defiende que el objetivo no es añadir otro punto de control que genere fricción, sino hacer que el camino seguro sea el más fácil, con valores por defecto sólidos y una base mantenida por un equipo responsable de ella.

Como valoración, la propuesta es coherente con la tendencia hacia repositorios internos curados, procedencia verificable y SLA de remediación, pero el texto no ofrece detalles técnicos de la integración, precios del catálogo ni datos independientes que verifiquen las cifras de CVE o los tiempos de respuesta citados.