casareanderson/sieve は、Linux ボックスとその上で稼働しているコンテナのパッケージ一覧をすでにあるファイルから読み取り、OSV.dev に問い合わせ、実際の攻撃に使われたと 알려진脆弱性一覧 (CISA KEV) と exploit 予測スコア (EPSS) を基準にソートするツールだ。スキャナーバイナリも脆弱性データベースもサーバーも存在しない。2026-11-02 のコミット (118978e, 'bench: weekly results 2026-11-02') はコード変更 없이、このリポジトリのベンチマーク結果ファイル 2 つ (bench/RESULTS.md、bench/results.json) のみを再生成した。162 行追加、122 行削除である。
結果は GitHub Actions の ubuntu24、4 CPUs 環境で収集され、digest で固定した 8 個のイメージを使用した。イメージごとに重複を除いた CVE 数の合計は sieve 741、trivy 943、grype 1303、osv-scanner 858 だが、ファイル自身は「多いから自動的に良いわけではない」と記している。ツールが数える対象が異なるためである。少なくとも 1 つのツールが発見した、実際の攻撃に使われた (image, CVE) ペアは 5 件で、sieve は 3 件、trivy は 3 件、grype は 5 件、osv-scanner は 3 件を捉えた。合計スキャン時間とピークメモリは sieve 0.6.0 が 15 秒・107 MB、trivy 0.74.0 が 2.0 秒・317 MB (DB ダウンロード 5.1 秒)、grype 0.119.0 が 23 秒・354 MB (DB アップデート 85 秒)、osv-scanner 2.6.0 が 22 秒・917 MB であった。他のツールが見つからなかった CVE を sieve のみが報告したケースは 0 件だった。
判断を曇らせる部分もはっきりしている。この数値はリポジトリ自身のベンチマークを実行して得られた結果であり、独立した試験ではない。sieve は他のツールが少なくとも 1 つでも報告した (image, CVE) ペア 702 件を見落とし、そのうち 2 件は KEV、53 件は他のツールの基準で CRITICAL ランクだった。今回の更新で「sieve が見落としたもの」一覧に新しく加わった CVE-2026-111497(node, CRITICAL, KEV) と CVE-2026-115557(python, CRITICAL) については、ファイルがバイナリパッケージ方式であるために sieve が読み取らない種類である旨が記されている。比較基準となる KEV カタログも 2026.10.23(1756 件)から 2026.10.30(1766 件)へ変わり、毎週変動する。このため sieve は、すでにインストールされたパッケージ一覧から何を見るべきかを決める優先順位レイヤーに近く、脆弱性一覧全体を置き換えるツールとみなすのは難しい。