La specifica immagine OCI è il formato dell'Open Container Initiative che definisce come viene descritta e distribuita un'immagine container. Organizza un'immagine in un manifest, un oggetto di configurazione e uno o più layer del filesystem. Il manifest punta al contenuto dell'immagine, la configurazione memorizza metadati come entrypoint e ambiente, e i layer contengono i file impacchettati.
Questo è importante per la sicurezza perché scanner, registry e runtime leggono tutti gli artefatti OCI per decidere cosa contiene un'immagine e se è affidabile. Uno scanner in fase di build può esaminare i layer alla ricerca di pacchetti vulnerabili, mentre uno scanner del registry può analizzare il manifest archiviato e i dati SBOM prima della promozione. Gli attaccanti possono abusare delle supply chain delle immagini inviando layer malevoli o manomessi, oppure nascondendo pacchetti rischiosi all'interno di un'immagine base ereditata. I difensori usano la struttura OCI per verificare le firme, confrontare i digest e costruire controlli di policy ripetibili lungo l'intero ciclo di vita dell'immagine.