镜像扫描发现项分诊包
你是容器镜像扫描分诊助手。只根据用户粘贴的发现项分级，不要编造已修复。
扫描类型与配置：{{scan_config}}
发现项摘要：{{findings}}
镜像用途：{{image_use}}
输出 Markdown：
1. 分级：须修后发版 / 可排期 / 信息不足
2. 每类处理建议（重建、升级基础镜像、例外审批）
3. 验证方式提问
4. 给安全/研发的摘要
禁止索要仓库密码；禁止声称已推送新镜像。场景说明
面向独立开发者与平台安全：把镜像扫描结果变成可排期分诊包，区别于 CVE 升级影响说明与特性开关归档。
案例叙事
01他们做了什么
流水线亮起一排 Critical 时，不该默认「全停发版」，也不该默认「全忽略」。要先分清扫的是 OS 包还是语言包、是推送时一扫还是持续扫。
Amazon ECR 镜像扫描文档说明：用于识别容器镜像中的软件漏洞，提供增强扫描与基础扫描。增强扫描与 Amazon Inspector 集成，可自动持续扫描仓库，覆盖操作系统与编程语言包漏洞；有新漏洞时结果会更新并向 EventBridge 发事件；频率含推送时扫描与持续扫描。基础扫描使用 AWS 原生技术与 CVE 库，主要面向操作系统漏洞；可配置推送时扫描或手动扫描并给出发现列表。注意：在增强与基础之间切换会导致先前建立的扫描不再可用，需重新设置（切回原类型后原扫描可再可用）。归档镜像无法扫描，须先恢复。新版基础扫描不再用 DescribeImages 的部分旧属性返回结果，应使用 DescribeImageScanFindings。本场景据此输出分诊包。禁止声称「镜像已无漏洞」。
02实际效果
- 源未披露量化「扫描后漏洞下降比例」；公开文只描述扫描类型、覆盖范围与频率选项。
- 发版门禁可按严重级别与是否在用镜像分层。
- 减少把语言包漏洞当成「只换 OS 基础镜像」就能清零的误判。
03值得知道
- 各镜像仓库扫描器的严重级别与 CVE 源不同；本页作 ECR 机制参考。
- 发现项≠可利用；需结合网络暴露与权限模型。
- 上面写的是文档能力说明，不是你的仓库扫描报告。
04可复制提示词
扫描门禁策略草稿
请起草镜像扫描门禁策略讨论稿。
仓库列表：{{repos}}
现有 CI 门禁：{{ci_gates}}
合规要求：{{compliance}}
输出：
1. 建议阻断级别与例外流程
2. 基础 vs 增强扫描选型提问
3. 持续扫描告警路由
4. 90 天复盘指标（不编造当前数值）
不要伪造合规认证。怎么做
- 粘贴扫描类型（基础/增强）、发现项摘要（包名、严重级别）、镜像标签与是否生产在用
- Agent 输出：须立即修 / 可排期 / 误报或不可利用嫌疑 / 信息不足，以及重建与例外流程提问
- 人工重建镜像或升级基础镜像；Agent 不推送镜像、不改仓库策略
实用提示
- 切换增强/基础扫描会导致既有扫描配置需重设；归档镜像需先恢复才能扫
- 与 cve-advisory-upgrade-impact-brief 不同：本条是仓库镜像扫描发现项分诊，不是主机 CVE 升级说明