本卡為 FR-128 母案。讓四顆出貨 docker image 用 Trivy 掃出 Critical＝0、發行版已有修正的漏洞全清，並把 CI 掃描換成 Trivy＋Grype 雙掃守住每一版。分五棒實作。子卡清單在末段。

這系列在做什麼（白話）

我們交給客戶的安裝包裡有四顆 docker image（後端、前端、資料庫初始化、證據分類沙箱）。客戶會自己拿掃描工具檢查這四顆，要求最嚴重等級（Critical）的漏洞一條都不能有。這個案子做兩件事：一是把現在掃得到的 6 條 Critical 和 128 條「已經有修正版可升」的漏洞全部清掉；二是把 CI（自動 build 流程）裡的掃描工具換成客戶會用的那一套，以後每出一版都自動檢查，有 Critical 就不准出包。

為什麼要做

• 客戶要求出貨 image（docker 映像檔）一條 Critical（最高嚴重等級的漏洞）都不能有。2026-10-05 在 188 用 Trivy 0.75（容器漏洞掃描工具，客戶最常用）掃 v1.24.3 四顆出貨 image：be-image（Ubuntu 22.04）93 條／2 Critical；classifier-image（Debian 13，evidence-classifier:1.6.2）1937 條／3 Critical；fe-image（Alpine）4 條／0 Critical；init-image（Alpine）74 條／1 Critical。「可修」（發行版已出修正版本）共 128 條。
• CI 原本用 osv-scanner，它對 Debian／Ubuntu 判定不準（be-image 的 curl 一條都掃不出、classifier 的 curl 誤報 8 個 Critical），而且完全看不到 CINC Auditor 內嵌的 443 個 Ruby gem（Ruby 套件）。報告原檔在 188 /opt/guidant-ai-be/.build/trivy-2026-10-05/；整理頁在 BE repo docs/security-reports/2026-10-04/README.md（未 commit，數字是 osv 版，.5 卡會更新）。
• 六個 Critical 的根因全部是我們自己能動的，沒有一條要等發行版。

首腦讀完後的重點：六個 Critical 的根因

image          套件                        根因                                                    子卡
be             concurrent-ruby、net-imap   CINC Auditor 7.1.7 內嵌舊 Ruby gem                      .2
classifier     libxml2-dev、linux-libc-dev build-essential 與 -dev 開發套件留在 runtime image      .3
classifier     libxml2 2.9.14              Debian 13 標 no-fix；Ubuntu 22.04 不受影響               .4
init           Go stdlib 1.24.6            postgres:16-alpine digest 釘死，內含舊 Go 工具           .1

可修 128 條從哪來

來源                                           條數   子卡
CINC Auditor 內嵌 Ruby gem                       24   .2
四顆 image 的 OS 套件（libssl3／libc6／python3 等）  37   .1
init 的 Go stdlib（postgres image 內）            46   .1
classifier pip／setuptools／wheel／jaraco        9   .3

怎麼拆

• .1 四顆基底 image 更新 digest 重 build（4 個 Dockerfile 各改一行）— 機械性、清最多條、零功能風險，先做打底。
• .2 be-image CINC Auditor 7.1.7 → 7.2.1＋殘餘 gem 補升（BE Dockerfile＋evidence-agent tools-manifest）— 要動跨 repo 版本同步與授權紅線，獨立一棒。
• .3 classifier 拿掉編譯工具與 -dev 套件、解 pip 釘版（jedi 套件 Dockerfile＋requirements）— 要驗所有 Python 套件都有預編譯 wheel，獨立一棒。
• .4 classifier 換 Ubuntu 22.04 基底（同 .3 的 Dockerfile）— 風險最大（Python 版本、onnx、LibreOffice、字型），放最後；等 .1～.3 驗收過才開工。
• .5 CI 掃描換 Trivy＋Grype 雙掃、報告進 repo、gate 設 Critical=0（sbom.sh＋.gitlab-ci.yml＋version-bump skill）— 守住以後每一版。

執行順序：.1 → .3 → .2 → .5 → .4。序列組：.3 與 .4 動同一支 classifier Dockerfile，不可平行；.1 也動該檔第 7 行 FROM，要先於 .3。.2 與 .3 檔案不重疊，.1 完成後可平行。

收口驗收（全部子卡完成後）

• 四顆 image 在 188 跑 trivy image --scanners vuln <image>：Critical＝0。