CRACI vs Apiiro

Krátká odpověď

Apiiro je platforma pro řízení bezpečnostního stavu aplikací (ASPM). Její Deep Code Analysis mapuje architekturu vašeho softwaru od kódu po runtime a její Risk Graph koreluje nálezy z vlastních skenerů Apiiro i z nástrojů třetích stran. Její modul pro bezpečnost softwarového dodavatelského řetězce (SSCS) inventarizuje repozitáře a pipeline a označuje rizika, jako je slabá ochrana větví, chybná konfigurace pipeline a neobvyklé commity.

CRACI soupeří o stejný rozpočet „zabezpečte náš softwarový dodavatelský řetězec“ z jiné pozice: spouští vaše joby GitHub Actions. Apiiro uvažuje o tom, co se podle vašeho kódu a konfigurace pipeline stane. CRACI zaznamenává, co build udělal, řídí jeho odchozí síťový provoz a dál sleduje, co jste dodali. Velký program AppSec může provozovat obojí. Tým, jehož první potřebou jsou důkazy o tom, co vstoupilo do každého vydání, může začít s CRACI.

Přehled

V čem je Apiiro dobré

• Kontext architektury bez změn v CI. Apiiro se připojuje k vašemu systému pro správu zdrojového kódu přes integraci API a podle svých slov nepotřebuje žádnou konfiguraci ani údržbu CI/CD. Deep Code Analysis pak mapuje API, citlivá data, frameworky GenAI a vlastnictví kódu, aktualizované při každém commitu a podstatné změně.
• Bezpečnost pro programování s AI. Guardian Agent, uvedený v lednu 2026, spolupracuje s asistenty pro programování s AI a do promptů vývojářů přidává bezpečnostní pokyny z vašich modelů hrozeb, zásad souladu a architektury, takže asistenta odvede od zranitelného kódu dřív, než ho napíše. V březnu 2026 následovalo AI Threat Modeling.
• Šíře. Apiiro uvádí nativní AI SAST, AI SCA, SSCS, tajné klíče, infrastrukturu jako kód, bezpečnost API v kódu, DSPM pro kód a modelování hrozeb pomocí AI. CRACI nedělá žádné ze skenování kódu z tohoto seznamu.
• Prioritizace. Risk Graph přijímá, deduplikuje a koreluje nálezy a pak je řetězí do „toxických kombinací“. Příklad od Apiiro: repozitář s osobními údaji, sestavovaný zranitelnou pipeline, do jehož větve přicházejí commity bez povinných revizorů. Ze tří středně závažných nálezů se stane jedno kritické riziko.
• Inventář softwarové továrny. SSCS inventarizuje repozitáře a pipeline CI/CD, včetně stínových pipeline, s přispěvateli, oprávněními, pluginy a závislostmi. Sleduje zranitelnosti závislostí pipeline po celý jejich životní cyklus a ochranná pravidla mohou blokovat rizikové commity a merge.
• Analýza závislostí a opravy. AI SCA kontroluje, zda je zranitelná funkce skutečně volána, páruje závislosti s nasazenými kontejnery a veřejnými endpointy, detekuje škodlivé balíčky a vynucuje licenční politiku. AutoFix dodává zvýšení verzí, která jsou podle Apiiro předem ověřená z hlediska kompatibility API.
• Integrace. GitHub, GitLab, Azure DevOps, Bitbucket a Perforce na straně správy zdrojového kódu, Jenkins a GitHub Actions pro stav pipeline a dlouhý seznam skenerů, registrů a ticketovacích nástrojů.

V čem je CRACI jiné

Zdrojem pravdy je build

XBOM od Apiiro vzniká analýzou kódu: každý balíček, API, model AI a licence, aktualizované při každé změně kódu. To dává silný obraz toho, co váš kód deklaruje a používá. Build ale často dělá víc, než říká kód. Spouští instalační skripty, stahuje toolchainy, obnovuje cache, stahuje základní image a binárky vydání.

CRACI tuto aktivitu vidí, protože je runnerem. Proxy, která rozumí balíčkům, sleduje během běhu jobu provoz ke zdrojům balíčků, napříč zdroji npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a k tomu předvolby pro stahování. Důkazy o závislostech se přenášejí spolu s cache CI, takže i balíček obnovený z cache je započítán. Každá SBOM nese stav úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Víte, kdy má záznam mezeru.

Řízení na runneru, nejen stav zabezpečení

Apiiro vám řekne, když je pipeline chybně nakonfigurovaná nebo otevřená manipulaci. CRACI omezuje, kam se build během běhu dostane. Egress policy mají výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami zdrojů softwaru, typovanými vlastními zdroji pro npm, PyPI, apt, apk, proxy Go, Nix, Cargo, registry OCI a Git a explicitními pravidly pro TLS, TCP, UDP a ICMP. Ověřují se před spuštěním jobu, jsou fail-closed a CRACI vás může na porušení upozornit.

Důkazy z buildu přes API

API vrací SBOM, síťové záznamy a údaje o původu.

Po dodání

CRACI průběžně znovu vyhodnocuje SBOM toho, co jste dodali, jakmile se zveřejní nové zranitelnosti, a agreguje nálezy napříč buildy a repozitáři.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají zasaženou verzi, místo abyste to skládali dohromady z poznámek k vydání a tabulek.

Kde je Apiiro napřed

Řečeno na rovinu: CRACI nemá skenování SAST, tajných klíčů, IaC ani bezpečnosti API, nepřijímá nálezy jiných skenerů, neaudituje ochranu větví ani oprávnění repozitářů a dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. CRACI ale blokuje buildy pomocí policy gate a vynucuje licenční politiku. Pokud potřebujete jednu platformu, která prioritizuje rizika napříč celým vaším kódem, Apiiro pokrývá mnohem víc.

Co se pro vás hodí

Apiiro se hodí lépe, když

• Chcete jednu platformu ASPM napříč mnoha skenery, repozitáři a systémy SCM.
• Vaší prioritou je kontext architektury: který kód je přístupný z internetu, pracuje s osobními údaji nebo se podstatně změnil.
• Potřebujete stav zabezpečení repozitářů a pipeline napříč GitLabem, Azure DevOps, Bitbucketem nebo Jenkinsem.

CRACI se hodí lépe, když

• Sestavujete v GitHub Actions a chcete runner, egress policy a záznam závislostí na jednom místě.
• Potřebujete SBOM toho, co každý build stáhl, se stavem úplnosti, který můžete ukázat auditorovi.
• Chcete monitorování toho, co bylo dodáno, a důkazy pro CRA.

Obojí současně

Apiiro se dnes popisuje jako zabezpečení agentního vývoje. Jeho Guardian Agent navádí asistenty pro programování s AI k bezpečnému kódu ještě předtím, než je napsán, a jeho XBOM vychází z analýzy kódu ve vašich repozitářích. CRACI je CI/CD se zabezpečením zabudovaným do runneru, takže jeho SBOM zaznamenává, co každý build skutečně stáhl, včetně toho, co analýza kódu nevidí: instalační skripty, toolchainy, balíčky z cache a základní image. Apiiro pracuje tam, kde se kód píše, CRACI tam, kde se sestavuje a dodává. CRACI nahrazuje runner, ne GitHub Actions, takže jakákoli integrace Apiiro s pipeline dál funguje.

Pro Cyber Resilience Act

Cyber Resilience Act požaduje, aby výrobci znali komponenty v každém produktu, řešili v nich zranitelnosti a uchovávali důkazy. Platforma ASPM pomáhá s bezpečným vývojem a s řešením zranitelností ve vašem kódu. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA: SBOM z doby buildu, sledování zranitelností, údaje o původu a export SBOM ve formátu CycloneDX nebo SPDX. Ani jeden z nástrojů vás sám o sobě do souladu nepřivede. Viz soulad s CRA.

Přidání CRACI

Nainstalujte do své organizace CRACI GitHub App a pak u jobu změňte štítek runneru na runs-on: craci. Běhy se dál zobrazují v rozhraní GitHubu. Začněte jedním workflow, které vytváří artefakt vydání, a porovnejte SBOM od CRACI se svým současným inventářem. Přečtěte si více o integraci CI/CD, generování SBOM během buildu a ceníku.