CRACI vs Xygeni

Krátká odpověď

Xygeni je platforma pro bezpečnost aplikací ze španělského Valladolidu. Popisuje se jako „one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end“, tedy jedna platforma s AI, která od začátku do konce detekuje, prioritizuje a odstraňuje zranitelnosti a malware. Její moduly pokrývají SAST, SCA s analýzou dosažitelnosti a detekcí malwaru, tajné klíče, IaC, kontejnery, bezpečnost CI/CD, zabezpečení buildů s atestacemi SLSA a in-toto, detekci anomálií, DAST, bezpečnost API a vrstvu ASPM. Ceny zveřejňuje a má bezplatný plán. Buildy nespouští: zapojuje se do systémů CI, které už používáte.

CRACI soupeří o stejný rozpočet na dodavatelský řetězec z jiného místa. Je runnerem pro GitHub Actions: zaznamenává balíčky, které každý job skutečně stáhl, během běhu jobu vynucuje egress policy a dál monitoruje, co bylo dodáno. Xygeni je v AppSec mnohem širší; CRACI jde hlouběji do buildu a toho, co z něj vzešlo.

Přehled

„Neuvedeno“ znamená, že jsme to nemohli ověřit na veřejných stránkách Xygeni.

V čem je Xygeni dobré

• Šíře v jedné platformě. SAST s automatickými opravami pomocí AI, SCA s analýzou dosažitelnosti a automatickými pull requesty s upgrady, detekce tajných klíčů s automatickým zneplatněním, skenování IaC a image kontejnerů a v Enterprise také DAST, bezpečnost API a ASPM s příjmem dat třetích stran.
• Malware v open source. Xygeni uvádí, že každý den analyzuje tisíce nových a aktualizovaných open source balíčků, k detekci neznámého malwaru používá engine s pomocí ML, podezřelé balíčky dává do karantény a může je blokovat firewallem závislostí. To jde nad rámec párování CVE.
• Bezpečnost CI/CD. Hledá chybné konfigurace ve skriptech buildu a v pipeline, řeší rizika OWASP Top 10 CI/CD, kontroluje nastavení, jako je ochrana větví a vícefaktorové ověřování, a označuje v pipeline škodlivé příkazy, například reverse shelly a stahování malwaru.
• Atestace buildu. Build Security přidá do pipeline jeden řádek, který sbírá důkazy z každé fáze buildu a generuje provenance SLSA a atestace in-toto podepsané bez klíčů. Atestace mohou nést skeny zranitelností, SBOM ve formátu SPDX nebo CycloneDX a výsledky testů a zmanipulované artefakty lze zablokovat před dodáním.
• Detekce anomálií. Senzory pro GitHub, GitLab, Jenkins a Azure hlídají neoprávněné změny kódu, závislostí, pipeline a konfigurace buildu a v reálném čase upozorňují.
• Široké pokrytí CI a zveřejněné ceny. Xygeni uvádí integrace s GitHubem, GitLabem, Jenkinsem, Azure Pipelines, Bitbucketem, CircleCI a Travis CI a v Enterprise nabízí nasazení on-premise.

V čem je CRACI jiné

Zaznamenáno z buildu, ne přečteno z deskriptorů

Podle dokumentace Xygeni jeho analyzátory zpracovávají deskriptory závislostí, z nich získávají přímé a nepřímé závislosti a určují jejich verze. To je standardní způsob, jak sestavit SBOM z repozitáře. CRACI místo toho vidí provoz, který do každého buildu přichází: proxy, která rozumí balíčkům, zaznamenává každý balíček, který job stáhl, napříč zdroji npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a k tomu předvolby pro stahování. Balíčky obnovené z cache CI v záznamu zůstávají.

Tak CRACI zaznamenává skryté závislosti, které nástroje založené na lockfilu přehlédnou: kód stažený instalačními hooky npm, skripty buildu v Rustu, které stahují během buildu, a vrstvy základního image při buildu kontejneru. Každá SBOM nese stav úplnosti pro každý job a každou cache (Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded), takže když má záznam mezeru, řekne to.

Řízení během běhu buildu

Kontroly CI/CD v Xygeni se dívají na to, jak jsou pipeline nakonfigurované a jaké příkazy obsahují. CRACI omezuje, kam se build dostane. Egress policy mají výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami zdrojů softwaru, typovanými vlastními zdroji pro npm, PyPI, apt, apk, proxy Go, Nix, Cargo, registry OCI a Git a explicitními pravidly pro TLS, TCP, UDP a ICMP. Ověřují se před spuštěním jobu a jsou fail-closed. Protože politika s výchozím zákazem povolí jen to, co build potřebuje, je kompromitovaný balíček, který se pokusí odeslat vaše tajné klíče na neznámý host, zablokován, i při útoku, který dosud nikdo neviděl, a CRACI vás na porušení upozorní.

Původ a monitorování z jednoho záznamu

Xygeni podepisuje atestace z kroku přidaného do pipeline, kterou provozujete. Záznam CRACI pochází z runneru, na kterém job běžel: API vrací SBOM, síťové záznamy a údaje o původu. CRACI provenance nepodepisuje a nehlásí se k žádné úrovni SLSA. CRACI průběžně znovu vyhodnocuje SBOM toho, co jste dodali, jakmile se zveřejní nové zranitelnosti, a ukazuje každý dřívější build, který obsahoval zranitelnou závislost, takže víte, jak dlouho jste byli vystaveni.

Runner je součástí produktu

Protože CRACI je runner, důkazy přicházejí spolu s výpočetním výkonem: běhy se dál zobrazují v GitHubu a CRACI spouští buildy zhruba dvakrát rychleji než runnery hostované na GitHubu, díky rychlejšímu hardwaru, kratším frontám a cachování. CRACI účtuje jen minuty buildu, $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku a bez poplatku za SBOM. Viz ceník CRACI.

Co se pro vás hodí

Xygeni se hodí lépe, když

• Chcete jednu platformu AppSec pro SAST, SCA, tajné klíče, IaC, kontejnery a konfiguraci pipeline.
• Chcete, aby se škodlivé open source balíčky detekovaly a blokovaly dřív, než existuje bezpečnostní upozornění.
• Sestavujete v GitLabu, Jenkinsu, Azure Pipelines, Bitbucketu, CircleCI nebo Travis CI.
• Potřebujete atestace SLSA a in-toto nebo nasazení on-premise.
• Malý tým chce začít na bezplatném plánu se zveřejněnými cenami.

CRACI se hodí lépe, když

• Sestavujete v GitHub Actions a chcete runner, egress policy a záznam závislostí na jednom místě.
• Potřebujete SBOM toho, co každý build skutečně stáhl, se stavem úplnosti, který můžete ukázat auditorovi.
• Chcete monitorování toho, co bylo dodáno, a historii buildů ze stejného záznamu.

Čeho se vzdáte, když přesunete důkazy z buildu do CRACI

U softwaru, který sestavujete v GitHub Actions, přebírá CRACI úlohu exportu SBOM z Xygeni: záznam, údaje o původu a monitorování pocházejí z runneru. Řečeno na rovinu, co to stojí: CRACI nemá analýzu dosažitelnosti, nedetekuje nové škodlivé balíčky podle chování nebo reputace (známá škodlivá vydání označí, jakmile je zveřejněno bezpečnostní upozornění s CVE), neotevírá pull requesty s upgrady, nepodepisuje provenance, nehlásí se k žádné úrovni SLSA, nemá detekci anomálií napříč správou zdrojového kódu a dnes spouští pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.

SAST, tajné klíče, IaC a kontroly stavu zabezpečení CI/CD od Xygeni pokrývají oblasti, kterých se CRACI záměrně nedotýká, takže mohou zůstat, kde jsou. CRACI nahrazuje runner, ne GitHub Actions, takže krok skenování běží na runneru CRACI jako jakýkoli jiný krok.

Pro Cyber Resilience Act

Cyber Resilience Act je jedním z několika předpisů, které požadují SBOM a proces řešení zranitelností. Xygeni ve svém plánu Business uvádí kontroly souladu softwarového dodavatelského řetězce podle CIS a OpenSSF. CRACI automatizuje významnou část přehledu o dodavatelském řetězci a důkazů, které proces CRA potřebuje: SBOM z doby buildu exportované ve formátu CycloneDX nebo SPDX, sledování zranitelností a údaje o původu přes API. Viz důkazy pro CRA. Ani jeden z nástrojů sám o sobě produkt do souladu nepřivede.

Další platformy v této oblasti najdete v CRACI vs Cycode, CRACI vs OX Security, CRACI vs Wiz a nástrojích pro bezpečnost softwarového dodavatelského řetězce.

Otázky k Xygeni a odpovědi

Co je Xygeni?

Xygeni je platforma pro bezpečnost aplikací ze španělského Valladolidu. Kombinuje vlastní skenery (SAST, SCA s analýzou dosažitelnosti a detekcí malwaru, tajné klíče, IaC, kontejnery, bezpečnost CI/CD a volitelně DAST a bezpečnost API) s vrstvou ASPM a k tomu zabezpečení buildů s atestacemi SLSA a in-toto a detekci anomálií napříč systémy pro správu zdrojového kódu a CI.

Kolik Xygeni stojí?

K září 2026 uvádí ceník Xygeni bezplatný plán se SAST, SCA, tajnými klíči a pluginem do IDE až pro 10 repozitářů, 200 skenů měsíčně a 5 přispěvatelů. Team začíná zhruba na $3,828 (€3,300) ročně a Business zhruba na $6,844 (€5,900) ročně, oba s 10 přispěvateli, a Enterprise se oceňuje na základě nabídky. Přispěvatelem je každý, kdo za posledních 90 dní provedl commit do skenovaného repozitáře. Build Security a Anomalies Detection jsou volitelné moduly Enterprise.

Poskytuje Xygeni runnery CI?

Ne. Xygeni se integruje se systémy CI, které provozujete, jako GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI a Travis CI, a do vašich pipeline přidává své skenery a krok atestace. CRACI je runner: joby GitHub Actions běží na CRACI, který zaznamenává, co každý job stáhl, a řídí, kam se smí dostat.

Jaký je rozdíl mezi Xygeni a CRACI?

Xygeni je široká platforma AppSec, která skenuje kód, závislosti, tajné klíče, IaC a konfiguraci pipeline napříč mnoha systémy CI. CRACI je runner pro GitHub Actions, který zaznamenává balíčky, jež každý build skutečně stáhl, během běhu vynucuje egress policy a dál monitoruje, co bylo dodáno. Xygeni je mnohem širší; CRACI zaznamenává samotný build.

Může CRACI nahradit Xygeni?

U důkazů z buildu pro software, který sestavujete v GitHub Actions, ano: zaznamenaná SBOM, údaje o původu a monitorování zranitelností od CRACI tuto práci pokrývají. CRACI nenahrazuje SAST, tajné klíče, IaC, kontroly stavu zabezpečení CI/CD, detekci malwaru ani analýzu dosažitelnosti od Xygeni a dnes spouští pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.