CRACI vs Wiz

Stručná odpověď

Wiz je cloudová bezpečnostní platforma a od 11. března 2026 součást Googlu. Wiz Code je jeho produkt pro bezpečnost kódu: skenuje kód, závislosti, tajné klíče a IaC, kontroluje nastavení správy verzí a CI/CD a propojuje, co najde, s cloudovými prostředky, na kterých kód nakonec běží. V dubnu 2026 Wiz rozšířil Wiz Code na GitHub Actions: nyní parsuje soubory workflow, modeluje workflow, joby a runnery ve svém Security Graph a označuje rizikové spouštěče, oprávnění, actions třetích stran a konfigurace AI agentů.

To je analýza konfigurace: říká vám, která workflow by mohla být zneužita. CRACI pracuje o vrstvu níž. Je runnerem pro GitHub Actions, takže zaznamenává balíčky, které každý job skutečně stáhl, vynucuje egress policy během běhu jobu a průběžně monitoruje, co bylo dodáno. Wiz pokrývá mnohem širší oblast, od kódu po cloud; CRACI pokrývá to, co se děje uvnitř buildu.

Přehled

„Neuvedeno“ znamená, že jsme to na veřejných stránkách Wizu nedokázali ověřit.

V čem je Wiz dobrý

Od kódu po cloud

• Kontext cloudu. Jádrem Wizu je bezpečnost cloudu napříč AWS, Azure, Google Cloud a Oracle Cloud. Bez agentů skenuje VM, kontejnery a serverless funkce a řadí zranitelnosti podle kontextu ze svého Security Graph: síťové expozice, identit, citlivosti dat a cest útoku.
• Mapování z kódu do cloudu. Wiz Code dohledá riziko nalezené v cloudu zpět ke zdrojovému kódu, který ho vytvořil, a navrhne opravu v tomto kódu. U týmu, který už Wiz používá, končí nálezy z kódu ve stejném grafu jako vše ostatní.
• Skenování na jednom místě. SCA a SBOM pro přímé i tranzitivní závislosti, skenování IaC pro Terraform, CloudFormation, Azure Resource Manager, Kubernetes a Docker podle více než 1 000 pravidel, tajné klíče v kódu, šablonách IaC a image kontejnerů, citlivá data jako PII a PHI a skenování kódu na malware, „než se dostane k vašim runnerům CI“. Obraz doplňují Wiz SAST a nálezy ze skenerů třetích stran.

GitHub Actions a bezpečnostní stav CI/CD

• Workflow v grafu. Wiz parsuje YAML workflow GitHub Actions a modeluje workflow, joby, runnery a jejich vztahy, takže se z pipeline stane dotazovatelné aktivum s kontextem o tom, co ji spouští a k čemu má přístup.
• Riziková konfigurace. Označuje nebezpečné spouštěče jako pull_request_target, analyzuje oprávnění deklarovaná v souborech workflow a hlásí problémy u rizikových nebo nadměrných, odhaluje rizikové vstupy a možné úniky tajných klíčů v definicích pipeline, vede inventář actions třetích stran, které jednotlivá workflow používají, a označuje AI agenty ve workflow, kteří jsou zranitelní vůči prompt injection.
• Benchmarky. Wiz Code kontroluje systémy pro správu verzí a CI/CD na chybné konfigurace a nezabezpečená výchozí nastavení, podle OpenSSF Best Practices, OWASP Top 10 CI/CD Risks a benchmarků CIS pro GitHub a GitLab.
• Detekce hrozeb. Wiz načítá auditní logy z platforem pro správu verzí a CI/CD, aby zachytil události jako podezřelý clone nebo smazané pravidlo ochrany větve, a jeho Sensor na vlastních (self-hosted) runnerech CI dokáže odhalit podezřelou aktivitu, například runner, který kontaktuje doménu pro těžbu kryptoměn.

V čem se CRACI liší

Vynucování uvnitř jobu, ne nálezy o něm

Oznámení Wizu popisuje inventář, analýzu a nálezy. Nepopisuje kontrolu toho, kam se job může během běhu připojit. Egress policy v CRACI je součástí runneru. Politiky mají výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů, typovanými vlastními zdroji pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git a explicitními pravidly TLS, TCP, UDP a ICMP. Ověřují se před startem jobu, při selhání vše zablokují (fail-closed) a CRACI vás na porušení upozorní.

To je důležité, protože útoky na dodavatelský řetězec běží uvnitř jobů, které vypadají správně nakonfigurované. Vlastní výzkum Wizu ke druhé vlně Shai-Hulud zjistil, že většina infekcí proběhla v pipeline CI/CD. Nález o bezpečnostním stavu vám může říct, že workflow je exponované; nedokáže ale zastavit kompromitovaný balíček, který už běží. S politikou výchozího zákazu je spojení k hostiteli, kterého build nepotřebuje, zablokováno, i při útoku, který dosud nikdo neviděl.

Co build stáhl, ne co kód deklaruje

SCA ve Wiz Code skenuje závislosti ve vašem kódu a jeho SBOM bez agentů popisují cloudové workloady. CRACI vidí provoz, který do každého buildu přichází: proxy, která rozumí balíčkům, zaznamenává každý balíček, který job stáhl, napříč zdroji npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a navíc přednastavenými zdroji stahování, včetně balíčků obnovených z cache CI. Takto CRACI zaznamenává skryté závislosti, které nástroje založené na lockfilech přehlédnou, například kód stažený instalačními hooky npm nebo vrstvy základního image při buildu kontejneru. GitHub Actions, které workflow spustilo, jsou v SBOM také, připnuté ke commitu, který byl použit. Každý SBOM nese stav úplnosti pro každý job a každou cache, takže když má záznam mezeru, říká to.

Důkazy z buildu

API vrací SBOM, síťové záznamy a původ. CRACI původ nepodepisuje a nedeklaruje žádnou úroveň SLSA. CRACI průběžně znovu vyhodnocuje SBOM toho, co jste dodali, jakmile jsou zveřejněny nové zranitelnosti, a ukazuje každý minulý build, který obsahoval zranitelnou závislost, takže víte, jak dlouho jste byli vystaveni riziku.

V čem je Wiz napřed

Řečeno na rovinu: CRACI nemá skenování SAST, tajných klíčů, IaC ani malwaru, žádné kontroly bezpečnostního stavu CI/CD, žádné monitorování procesů na runnerech, žádnou bezpečnost cloudu ani mapování z kódu do cloudu. Dnes podporuje jen GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Pokud je vaší prioritou jeden pohled na rizika od kódu po cloud, Wiz pokrývá mnohem víc.

Co se hodí k vám

Wiz je vhodnější, když

• Wiz už používáte pro bezpečnost cloudu a chcete mít rizika kódu a pipeline ve stejném grafu.
• Chcete napříč mnoha repozitáři najít rizikové spouštěče workflow, oprávnění a actions třetích stran.
• Potřebujete skenování SAST, tajných klíčů, IaC a malwaru s kontextem cloudu pro prioritizaci.
• Provozujete vlastní (self-hosted) runnery a chcete na nich detekci hrozeb.

CRACI je vhodnější, když

• Chcete egress policy vynucovanou uvnitř každého jobu GitHub Actions, ne jen nálezy o workflow.
• Potřebujete SBOM toho, co každý build skutečně stáhl, se stavem úplnosti, který můžete ukázat auditorovi.
• Chcete monitorování toho, co bylo dodáno, a historii buildů ze stejného záznamu.

Používání obou

Kontroly bezpečnostního stavu, skenování kódu a bezpečnost cloudu ve Wiz Code pokrývají oblasti, kterých se CRACI záměrně nedotýká, takže zůstávají, kde jsou. CRACI nahrazuje runner, ne GitHub Actions: vaše workflow a repozitáře zůstávají v GitHubu, takže Wiz dál analyzuje stejné soubory workflow, zatímco joby běží na CRACI. CRACI navíc spouští buildy zhruba dvakrát rychleji než runnery hostované na GitHubu, díky rychlejšímu hardwaru, kratším frontám a cache, a účtuje jen minuty buildu. Viz ceník CRACI.

Pro Cyber Resilience Act

Cyber Resilience Act je jedním z několika rámců, které vyžadují SBOM a proces řešení zranitelností. CRACI automatizuje významnou část přehledu o dodavatelském řetězci a důkazů, které proces pro CRA potřebuje: SBOM z doby buildu exportované jako CycloneDX nebo SPDX, sledování zranitelností a původ přes API. Viz důkazy pro CRA. Ani jeden z nástrojů sám o sobě produkt do souladu nepřivede.

Další platformy v této oblasti najdete v článcích CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni a nástroje pro bezpečnost softwarového dodavatelského řetězce.

Otázky o Wizu a odpovědi

Co je Wiz Code?

Wiz Code je část cloudové bezpečnostní platformy Wiz zaměřená na bezpečnost kódu. Skenuje kód na zranitelné závislosti, tajné klíče, chybné konfigurace IaC, citlivá data a malware, přidává SAST a nálezy ze skenerů třetích stran, kontroluje nastavení správy verzí a CI/CD podle benchmarků a dohledává rizika v cloudu zpět ke zdrojovému kódu, který je způsobil.

Zabezpečuje Wiz Code GitHub Actions?

Wiz Code analyzuje konfiguraci GitHub Actions. Od dubna 2026 parsuje YAML soubory workflow a modeluje workflow, joby, runnery a jejich vztahy ve Wiz Security Graph, označuje nebezpečné spouštěče jako pull_request_target, hlásí problémy u rizikových nebo nadměrných oprávnění, vede inventář actions třetích stran a označuje rizikové nastavení AI agentů. Oznámení Wizu nepopisuje kontrolu toho, kam se job může během běhu připojit. CRACI je runner, takže egress policy vynucuje uvnitř každého jobu.

Patří Wiz pod Google?

Ano. Google dokončil akvizici Wizu 11. března 2026. Wiz uvádí, že zůstává multicloudovou platformou pokrývající AWS, Azure, Google Cloud a Oracle Cloud.

Kolik Wiz stojí?

Wiz nezveřejňuje ceníkové ceny. K září 2026 jeho stránka s cenami popisuje sjednocené nabídky a možnosti à la carte, s cenovou nabídkou na vyžádání. CRACI účtuje jen minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku.

Může CRACI nahradit Wiz Code?

Jako celek ne. CRACI nemá skenování SAST, tajných klíčů, IaC ani malwaru, žádné kontroly bezpečnostního stavu CI/CD a žádnou bezpečnost cloudu. U buildů v GitHub Actions CRACI přidává to, co analýza konfigurace nedokáže: je runnerem, takže zaznamenává balíčky, které každý job stáhl, a během běhu jobu vynucuje egress policy.