Un'immagine di base è il livello iniziale dell'immagine del container a cui vengono aggiunti tutti i successivi file dell'applicazione, le librerie e le impostazioni. È la base per un Dockerfile o un processo di build simile, e spesso determina il sistema operativo, il gestore dei pacchetti e gli strumenti predefiniti all'interno dell'immagine finale.
Le immagini di base sono importanti per la sicurezza perché qualsiasi debolezza in esse viene ereditata da ogni immagine derivata. Se un'immagine di base contiene pacchetti obsoleti, utilità non necessarie o un runtime vulnerabile, tali rischi possono diffondersi a molti servizi. Gli attaccanti possono anche prendere di mira le immagini di base più popolari tramite compromissioni della supply chain, sapendo che una base contaminata può influire sulle build a valle. I difensori riducono questo rischio scegliendo immagini minime e affidabili, bloccando versioni o digest, eseguendo la scansione dei livelli di base prima dell'uso e ricostruendo regolarmente in modo che le patch confluiscano nelle immagini dipendenti. Nei registri dei container e nelle pipeline CI/CD, l'immagine di base è spesso la prima decisione di fiducia nella catena di rilascio.