CRACI vs Trivy

Stručná odpověď

Trivy patří k nejužitečnějším bezplatným bezpečnostním nástrojům vůbec. Skenuje image kontejnerů, souborové systémy, repozitáře, image virtuálních strojů a Kubernetes na zranitelnosti, chybné konfigurace, tajné klíče a licence a SBOM vytváří jako vedlejší produkt. CRACI je runner pro GitHub Actions, který zaznamenává, co každý build stáhl, řídí, kam se build může připojit, a dál sleduje zranitelnosti v tom, co bylo dodáno. Hlavní rozdíl: Trivy odvozuje seznam komponent ze souborů, zatímco CRACI ho pozoruje. Pro SBOM a zranitelnosti závislostí softwaru, který sestavujete, CRACI nahrazuje Trivy. Pro zbytek toho, co Trivy skenuje, vyberte nástroj pro každou úlohu z níže uvedeného seznamu.

Proč týmy hledají alternativy k Trivy

• Kompromitace dodavatelského řetězce v březnu 2026. Bezpečnostní upozornění Aqua Security (CVE-2026-33634) popisuje škodlivé vydání Trivy v0.69.4 a otrávené tagy trivy-action a setup-trivy z 19. března 2026, po nichž 22. března následovaly škodlivé image na Docker Hubu. Vložený kód kradl přihlašovací údaje z CI runnerů. Aqua zveřejnila bezpečné verze a doporučuje připínat actions na plné SHA commitů.
• Sken není sledování. Trivy hlásí, co najde, když běží. Udržování nálezů, vlastníků a stavu napříč repozitáři a vydáními a opakovaná kontrola dodaného softwaru, když se objeví nová bezpečnostní upozornění, zůstávají na vás.
• SBOM je odvozená ze souborů. Sken před buildem čte lockfily. Kde repozitář žádný necommituje, není moc co číst, a verze, které by skutečná instalace vyřešila, se rozhodují až v době buildu.
• Šíře na úkor hloubky. Jedna binárka pokrývá mnoho úloh. Týmy, které v jedné oblasti potřebují víc, například u infrastruktury jako kódu nebo image kontejnerů, často tuto úlohu přesunou na specializovaný nástroj.

Každý skener, který vaše pipeline stahuje a spouští, je sám součástí vašeho softwarového dodavatelského řetězce a běží vedle tajných klíčů jobu. Na CRACI zaznamenává SBOM runner, takže pro software, který sestavujete, není potřeba stahovat žádný krok se skenerem. Egress policy runneru může omezit, ke kterým hostitelům se kterýkoli krok jobu dostane, a síťový záznam každého jobu se ukládá. Připínání actions na SHA commitů, jak doporučuje Aqua, platí i na CRACI.

Alternativy k Trivy podle úlohy, kterou za vás Trivy dělá

• SBOM a zranitelnosti závislostí pro software, který sestavujete: CRACI. Zaznamená SBOM z buildu, průběžně ji znovu vyhodnocuje a nálezy předává týmu, který kód vlastní.
• Skenování image kontejnerů a souborových systémů: Grype, open source skener zranitelností od Anchore pro image kontejnerů, souborové systémy a SBOM, s daty EPSS a KEV pro stanovení priorit. Pro SBOM se kombinuje se Syft. Viz CRACI vs Syft a Grype.
• Infrastruktura jako kód: Checkov skenuje Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, Dockerfiles, Bicep a šablony ARM a kontroluje i tajné klíče a open source balíčky. KICS pokrývá Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi a další. Oba jsou open source pod licencí Apache-2.0.
• Tajné klíče: Gitleaks odhaluje hesla, API klíče a tokeny v repozitářích Git a souborech, open source pod licencí MIT.
• Komerční skener s radami k opravám: viz CRACI vs Snyk a srovnání nástrojů SCA.

Podrobnější popis každé možnosti a srovnání Grype vs Trivy najdete v kompletním průvodci alternativami k Trivy.

Co Trivy dělá dobře

Trivy se samo popisuje jako „komplexní a všestranný bezpečnostní skener“, a to sedí. Jedna binárka pokrývá několik úloh, které by jinak vyžadovaly samostatné nástroje:

• Mnoho cílů. Image kontejnerů, souborové systémy, vzdálené repozitáře Git, image virtuálních strojů a Kubernetes.
• Mnoho skenerů. Balíčky OS a softwarové závislosti, známé zranitelnosti, chybné konfigurace infrastruktury jako kódu, tajné klíče a softwarové licence.
• SBOM na vstupu i výstupu. trivy fs --format cyclonedx nebo --format spdx-json zapíše SBOM a trivy sbom naskenuje existující SBOM na zranitelnosti.
• Běží kdekoli. Je open source pod licencí Apache-2.0, funguje jako CLI a má GitHub Action a operátor pro Kubernetes.

CRACI neprovádí žádné skenování IaC, tajných klíčů ani clusterů. Pokud potřebujete zkontrolovat plán Terraformu, zachytit commitnutý token nebo naskenovat image třetí strany, který jste nesestavili, správnou volbou je Trivy nebo jeden z výše uvedených nástrojů.

2:07

V čem je CRACI jiné

Trivy čte soubory, CRACI sleduje build

Dokumentace Trivy svou metodu popisuje jasně: „Pokud je cílem projekt před buildem, například repozitář kódu, Trivy analyzuje soubory používané pro build, jako jsou lockfily.“ U cíle po buildu, například image kontejneru, místo toho čte metadata nainstalovaných balíčků a binárky. U repozitářů Node.js to znamená package-lock.json, yarn.lock, pnpm-lock.yaml nebo bun.lock.

Takový návrh je rozumný a má předvídatelnou hranici. expressjs/express 5.2.1 necommituje žádný lockfile a repozitář anthropics/claude-code nemá žádný manifest závislostí, takže při skenu před buildem u žádného z nich Trivy nemá co číst. To je Trivy fungující tak, jak je zdokumentováno, nikoli selhání. Verze, které by skutečná instalace vyřešila, se rozhodují až v době buildu.

CRACI začíná z opačného konce. Joby běží s runs-on: craci a proxy, která rozumí balíčkům, zaznamenává, co job stahuje ze zdrojů npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a také z předvoleb pro stahování. Balíčky obnovené z cache CI si své důkazy nesou dál. SBOM (CycloneDX nebo SPDX) popisuje, co build skutečně použil, s lockfilem i bez něj.

Řekne, když je záznam neúplný

Každý job a každá cache v CRACI má stav úplnosti: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Prázdná nebo chudá SBOM je jako taková vidět a nevypadá stejně jako projekt s několika závislostmi.

Řídí build

Protože CRACI job spouští, může vynucovat egress policy sítě: výchozí deny nebo výchozí allow, s 24 vestavěnými předvolbami zdrojů softwaru, ověřenou před spuštěním jobu, která při selhání vše zablokuje. Kontrola odchozího provozu je mimo rozsah Trivy. API vrací SBOM, síťové záznamy a údaje o původu (provenance). CRACI původ nepodepisuje. Pro podepisování ukazuje dokumentace Trivy postup se dvěma nástroji: Trivy zapíše SBOM a Cosign ji podepíše jako atestaci.

Sleduje dál

Trivy skenuje, když ho spustíte. CRACI agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM a bezpečnostní týmy mohou nálezy třídit a předávat týmu, který opravu vlastní. SBOM od dodavatelů se monitorují spolu s vašimi vlastními buildy. Policy gates v CRACI mohou build zablokovat; upozornění při překročení prahů jsou v plánu vývoje.

Inventář toho, co je kde nasazeno

Inventář v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, uvidíte, které produkty používají dotčenou verzi, místo abyste to skládali dohromady z poznámek k vydání a tabulek.

Přechod z Trivy

Na CRACI není pro buildy, které dodáváte, potřeba generovat žádnou SBOM ani udržovat žádný sken závislostí. Runner zaznamenává SBOM během buildu a CRACI ji i po dokončení buildu dál kontroluje na nové zranitelnosti.

Mějte jasno v tom, co CRACI nedělá. Neskenuje infrastrukturu jako kód, clustery Kubernetes ani image virtuálních strojů, nehledá tajné klíče ani chybné konfigurace a neskenuje image ani software, které jste nesestavili. Upozornění při překročení prahů jsou v plánu vývoje. Dnes funguje jen s GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Pokud na cokoli z toho spoléháte na Trivy, ponechte si ho na to.

Pro Cyber Resilience Act

CRA požaduje, aby výrobci dokumentovali komponenty v každém produktu, včetně SBOM, a řešili a oznamovali zranitelnosti v tom, co dodávají. Trivy pomáhá hledáním zranitelností a chybných konfigurací a vytvářením SBOM, stopu důkazů od vydání k SBOM si ale musíte vybudovat sami. CRACI zaznamenává SBOM pro každý build, váže ji k artefaktu, exportuje SBOM jako CycloneDX nebo SPDX a připravuje obsah oznámení zranitelností podle CRA, který pak sami podáte. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Viz co je CRA a generování SBOM z doby buildu.

CRACI vs Trivy: časté dotazy

Bezplatné možnosti, kompromitace z března 2026 a co CRACI nahrazuje

Jaká je nejlepší alternativa k Trivy?

Záleží na tom, kterou práci Trivy nahrazujete. Pro SBOM a zranitelnosti závislostí v softwaru, který sestavujete v GitHub Actions, CRACI zaznamená SBOM z buildu a dál ji sleduje. Pro skenování image kontejnerů je blízkou open source obdobou Grype. Pro infrastrukturu jako kód jsou open source možnostmi Checkov a KICS. Pro tajné klíče Gitleaks. Žádný jednotlivý nástroj nenahradí celé Trivy.

Existuje bezplatná alternativa k Trivy?

Ano. Grype (image, souborové systémy a SBOM), Checkov a KICS (infrastruktura jako kód) jsou open source pod licencí Apache-2.0 a Gitleaks (tajné klíče) je open source pod licencí MIT. CRACI je placený produkt účtovaný za minutu buildu bez měsíčního poplatku.

Je Trivy po kompromitaci v březnu 2026 stále bezpečné používat?

Bezpečnostní upozornění Aqua Security (CVE-2026-33634) popisuje škodlivé vydání Trivy v0.69.4 a otrávené tagy trivy-action a setup-trivy z 19. března 2026 a škodlivé image na Docker Hubu z 22. března. Aqua uvádí bezpečné verze a doporučuje rotovat tajné klíče, které mohly být vyzrazeny, a připínat GitHub Actions na plné SHA commitů. Zkontrolujte v upozornění verze, které používáte.

Jaký je rozdíl mezi Trivy a Grype?

Oba jsou open source skenery pod licencí Apache-2.0. Grype se zaměřuje na zranitelnosti v image kontejnerů, souborových systémech a SBOM a ke generování SBOM se kombinuje se Syft. Trivy pokrývá v jedné binárce víc cílů a skenerů, včetně infrastruktury jako kódu, tajných klíčů, licencí, image virtuálních strojů a Kubernetes.

Může CRACI nahradit Trivy?

Pro SBOM a zranitelnosti závislostí softwaru, který sestavujete v GitHub Actions, ano: CRACI zaznamenává SBOM během buildu a průběžně ji znovu vyhodnocuje vůči datům o zranitelnostech. CRACI neskenuje infrastrukturu jako kód, clustery Kubernetes, image virtuálních strojů, tajné klíče, chybné konfigurace ani image, které jste nesestavili. Na to si ponechte Trivy nebo jiný skener.

Skenuje CRACI Terraform nebo jinou infrastrukturu jako kód?

Ne. CRACI zaznamenává, co vaše buildy stahují, a sleduje zranitelnosti v tom, co dodáváte. Pro Terraform a jinou infrastrukturu jako kód použijte skener chybných konfigurací v Trivy nebo specializovaný nástroj, jako je Checkov nebo KICS.