Des milliers de CVE dans mon image Python, (presque) que du bruit

Un Grype sur mon image Python, et le verdict tombe : des milliers de CVE, des centaines en « critique ». Première réaction, la panique. Puis la vraie question : combien me concernent réellement ? Juste une poignée. Je raconte ce déclic et ce qu'il a changé dans ma façon de gérer les vulnérabilités. Autopsie d'une image pour voir d'où viennent ces CVE (packages system, toolchain, dépendances dormantes jamais appelées au runtime), on distingue CVE présente / atteignable / exploitable, et on priorise sur du signal réel. Enfin on attaque la source : réduire la surface d'attaque (image minimale, distroless, sans shell) fait fondre le bruit bien plus durablement que patcher à la chaîne.