casareanderson/sieve 是一个工具：从 Linux 主机及其上运行的容器的现有文件中读取软件包列表，向 OSV.dev 查询，并以已知在实际攻击中被利用的漏洞清单（CISA KEV）和漏洞利用预测评分（EPSS）为基准进行排序。它没有扫描器二进制文件，也没有漏洞数据库或服务器。2026-11-02 的提交（118978e，'bench: weekly results 2026-11-02'）在没有任何代码改动的情况下，只重新生成了该仓库的两个基准测试结果文件（bench/RESULTS.md、bench/results.json）。新增 162 行，删除 122 行。
结果是在 GitHub Actions 的 ubuntu24、4 CPUs 环境中收集的，使用了以 digest 固定的 8 个镜像。把按镜像去重后的 CVE 数相加，sieve 为 741、trivy 为 943、grype 为 1303、osv-scanner 为 858，但文件本身就写道「数量多并不自动等于好」，因为各工具统计的对象不同。至少被一个工具发现的、实际被用于攻击的 (image, CVE) 组合共 5 个，其中 sieve 捕获 3 个、trivy 3 个、grype 5 个、osv-scanner 3 个。总扫描时间和峰值内存为：sieve 0.6.0 为 15 秒·107 MB，trivy 0.74.0 为 2.0 秒·317 MB（DB 下载 5.1 秒），grype 0.119.0 为 23 秒·354 MB（DB 更新 85 秒），osv-scanner 2.6.0 为 22 秒·917 MB。其他工具未找到、而仅由 sieve 单独报告的 CVE 为 0 件。
存在会掩盖判断的部分，这点也很明确。这些数字来自运行仓库自带的基准测试，并非独立评测。sieve 漏掉了其他工具中至少有一个报告过的 (image, CVE) 组合共 702 个，其中 2 个属于 KEV，53 个按其他工具的标准为 CRITICAL 等级。本次更新中新进入「sieve 漏掉的」列表的 CVE-2026-111497(node, CRITICAL, KEV) 和 CVE-2026-115557(python, CRITICAL)，文件中注明是因为文件属于二进制软件包形式，是 sieve 不读取的类型。作为比较基准的 KEV 目录也从 2026.10.23(1756 条) 变为 2026.10.30(1766 条)，且每周都在变动。因此 sieve 更接近于在已安装的软件包列表中决定先看什么的优先级层，很难被看作能够取代完整漏洞清单的工具。