casareanderson/sieve는 Linux 박스와 그 위에서 실행 중인 컨테이너의 패키지 목록을 이미 있는 파일에서 읽어 OSV.dev에 질의하고, 실제 공격에 사용된 것으로 알려진 취약점 목록(CISA KEV)과 exploit 예측 점수(EPSS)를 기준으로 정렬해 주는 도구다. 스캐너 바이너리도 취약점 데이터베이스도 서버도 없다. 2026-11-02의 커밋(118978e, 'bench: weekly results 2026-11-02')은 코드 변경 없이 이 저장소의 벤치마크 결과 파일 두 개(bench/RESULTS.md, bench/results.json)만 다시 생성했다. 추가 162줄, 삭제 122줄이다.
결과는 GitHub Actions의 ubuntu24, 4 CPUs 환경에서 수집됐고, digest로 고정한 8개 이미지를 썼다. 이미지별 중복을 제거한 CVE 수를 합하면 sieve 741, trivy 943, grype 1303, osv-scanner 858인데, 파일 스스로 '많다고 자동으로 좋은 것은 아니다'고 적는다. 도구가 세는 대상이 다르기 때문이다. 적어도 한 도구가 찾아낸 실제 공격에 사용된 (image, CVE) 쌍은 5개였고, sieve는 3개, trivy는 3개, grype는 5개, osv-scanner는 3개를 잡았다. 총 스캔 시간과 피크 메모리는 sieve 0.6.0이 15초·107 MB, trivy 0.74.0이 2.0초·317 MB(DB 다운로드 5.1초), grype 0.119.0이 23초·354 MB(DB 업데이트 85초), osv-scanner 2.6.0이 22초·917 MB였다. 다른 도구가 찾지 못한 CVE를 sieve가 단독으로 보고한 경우는 0건이었다.
판단을 가리는 부분도 분명하다. 이 수치는 저장소가 자체 벤치마크를 돌려 만든 결과지 독립 시험이 아니다. sieve는 다른 도구가 하나라도 보고한 (image, CVE) 쌍 702개를 놓쳤고, 그중 2개는 KEV, 53개는 다른 도구 기준으로 CRITICAL 등급이었다. 이번 갱신에서 'sieve가 놓친 곳' 목록에 새로 들어간 CVE-2026-111497(node, CRITICAL, KEV)과 CVE-2026-115557(python, CRITICAL)는 파일이 바이너리 패키지 방식이라 sieve가 읽지 않는 유형이라고 적혀 있다. 비교 기준인 KEV 카탈로그도 2026.10.23(1756건)에서 2026.10.30(1766건)으로 바뀌어 매주 움직인다. 그래서 sieve는 이미 설치된 패키지 목록에서 무엇을 먼저 볼지 정하는 우선순위 계층에 가깝고, 전체 취약점 목록을 대체하는 도구로 보기는 어렵다.