Minimus открыла бесплатный доступ к защищённым образам контейнеров — тред спрашивает, кто заплатит потом

Каталог защищённых образов снимает платный доступ

Minimus открыла бесплатный доступ к каталогу защищённых образов контейнеров — минималистичные distroless-сборки популярного открытого ПО: инфраструктура, данные, AI и базовые образы, многие в FIPS-совместимых и «расширенных» вариантах вместе с Helm-чартами.

Каждый образ рекламирует процент снижения атакуемой поверхности и устранённых CVE: nginx — 100%, python — 98%, elasticsearch — 92%. Бесплатный уровень не включает поддержку, SLA или гарантии сроков патчей, и страница прямо говорит, что обновления безопасности могут сначала получать платные подписчики. Даже слово «hardened» снабжено оговоркой: это описывает конфигурацию в момент сборки, «не гарантию постоянной безопасности или отсутствия уязвимостей».

CTO пришёл, и вопросы пошли не туда

Сооснователь сам открыл дверь.

«Здесь John (технический директор и сооснователь)… мы рады ответить на любые вопросы!» — сооснователь компании

Первый ответ полностью проигнорировал технику и сразу атаковал бизнес-модель.

«Бесплатные уровни всегда исчезают — после того, как глубоко встраиваются в нашу инфраструктуру. Я бы предпочёл честное ценообразование с самого начала.» — основатель финтех-компаний

Платформенный инженер назвал слона в комнате: рынок уже переполнен аналогичным предложением.

«Зачем это, если есть DHI (Docker Hardened Images) или Chainguard Images — у обоих тоже есть набор бесплатных защищённых образов?» — DevOps-инженер

Другие давили на доверие и происхождение — и на разрыв с открытостью, которого у конкурентов вроде Wolfi нет.

«Где они собраны? Можно посмотреть Dockerfile? Какова лицензия?.. Понятно, что бесплатно как пиво, но не как свободное ПО?» — комментатор, спрашивающий о происхождении сборки

«Атака на цепочку поставок в ожидании своего часа» — скептичный инженер

Самое точное замечание о продукте сделал тот, кто внимательно читал маркетинг: базовый показатель сравнения подтасован. Количество уязвимостей показывают относительно node:latest — образа, который никто реально не деплоит.

«На вкладке снижения рисков следует сравнивать количество уязвимостей с образом node-slim… никто не деплоит node:latest.» — комментатор, проверяющий бенчмарк

Настоящая планка для «бесплатно» здесь не цена, а вопрос: может ли закрытый образ без опубликованного Dockerfile завоевать то доверие, которое открытая база вроде Wolfi получает по умолчанию.