CRACI vs. Apiiro

Det korte svar

Apiiro er en platform til application security posture management (ASPM). Dens Deep Code Analysis kortlægger din softwarearkitektur fra kode til runtime, og dens Risk Graph korrelerer fund fra Apiiros egne scannere og fra tredjepartsværktøjer. Dens modul til software supply chain security (SSCS) inventariserer repositories og pipelines og markerer risici som svag branch protection, fejlkonfigurerede pipelines og unormale commits.

CRACI konkurrerer om det samme budget til "at sikre vores softwareforsyningskæde" fra en anden position: Det kører dine GitHub Actions-jobs. Apiiro ræsonnerer om, hvad din kode og pipeline-konfiguration siger vil ske. CRACI registrerer, hvad buildet gjorde, styrer dets netværks-egress og holder øje med det, du har leveret. Et stort AppSec-program kan køre begge. Et team, hvis første behov er dokumentation for, hvad der gik ind i hver release, kan starte med CRACI.

Overblik

Hvad Apiiro gør godt

• Arkitekturkontekst uden ændringer i CI. Apiiro kobles til dit versionsstyringssystem via en API-integration og siger, at det hverken kræver konfiguration eller vedligeholdelse af CI/CD. Deep Code Analysis kortlægger derefter API'er, følsomme data, GenAI-frameworks og ejerskab af kode, opdateret ved hvert commit og hver væsentlig ændring.
• Sikkerhed til AI-kodning. Guardian Agent, lanceret i januar 2026, arbejder sammen med AI-kodeassistenter og tilføjer sikkerhedsretningslinjer fra dine trusselsmodeller, compliance-politikker og din arkitektur til udviklernes prompts, så assistenten styres væk fra sårbar kode, før den skriver den. AI Threat Modeling fulgte i marts 2026.
• Bredde. Apiiro nævner indbygget AI SAST, AI SCA, SSCS, secrets, infrastructure as code, API-sikkerhed i kode, DSPM til kode og AI-trusselsmodellering. CRACI laver ingen af kodescanningerne på den liste.
• Prioritering. Risk Graph indlæser, deduplikerer og korrelerer fund og kæder dem derefter sammen til "toxic combinations". Apiiros eksempel: et repository med personoplysninger, der bygges af en sårbar pipeline og modtager commits til en branch uden påkrævede reviewere. Tre middelalvorlige fund bliver til én kritisk risiko.
• Inventar over softwarefabrikken. SSCS inventariserer repositories og CI/CD-pipelines, herunder skyggepipelines, med bidragydere, rettigheder, plugins og afhængigheder. Det følger sårbarheder i pipelinernes afhængigheder gennem hele deres livscyklus, og guardrails kan blokere risikable commits og merges.
• Afhængighedsanalyse og rettelser. AI SCA tjekker, om en sårbar funktion faktisk kaldes, matcher afhængigheder med udrullede containere og offentlige endpoints, registrerer ondsindede pakker og håndhæver licenspolitikker. AutoFix leverer versionsopdateringer, som Apiiro siger er forhåndsvaliderede for API-kompatibilitet.
• Integrationer. GitHub, GitLab, Azure DevOps, Bitbucket og Perforce på versionsstyringssiden, Jenkins og GitHub Actions til pipeline-posture og en lang liste af scannere, registries og ticketing-værktøjer.

Hvor CRACI er anderledes

Buildet er sandhedskilden

Apiiros XBOM bygges ved at analysere kode: hver pakke, API, AI-model og licens, opdateret ved hver kodeændring. Det giver et stærkt billede af, hvad din kode deklarerer og bruger. Et build gør ofte mere, end koden siger. Det kører install-scripts, downloader toolchains, gendanner caches, trækker base-images ned og henter release-binærfiler.

CRACI ser den aktivitet, fordi det er runneren. En pakkebevidst proxy overvåger trafikken til pakkekilderne, mens jobbet kører, på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig er med. Hver SBOM har en fuldstændighedsstatus pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Du ved, når registreringen har et hul.

Kontrol på runneren, ikke kun posture

Apiiro fortæller dig, når en pipeline er fejlkonfigureret eller åben for manipulation. CRACI begrænser, hvad et build kan nå, mens det kører. Egress-politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. De valideres, før jobbet starter, og blokerer ved fejl (fail closed), og CRACI kan advare dig ved en overtrædelse.

Build-dokumentation via API'et

API'et returnerer SBOM'er, netværkstraces og provenance.

Efter leveringen

CRACI bliver ved med at genvurdere SBOM'erne for det, du har leveret, efterhånden som nye sårbarheder offentliggøres, og samler fund på tværs af builds og repositories.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvor Apiiro er foran

For at sige det ligeud: CRACI har ingen SAST, scanning af secrets eller IaC eller API-sikkerhedsscanning, indlæser ikke andre scanneres fund, reviderer ikke branch protection eller rettigheder i repositories og understøtter i dag kun GitHub Actions, med GitLab CI og Jenkins på roadmappen. CRACI blokerer dog builds via policy-gates og håndhæver licenspolitikker. Har du brug for én platform, der prioriterer risiko på tværs af al din kode, dækker Apiiro langt mere.

Hvilket værktøj passer

Apiiro passer bedre, når

• Du vil have én ASPM-platform på tværs af mange scannere, repositories og SCM-systemer.
• Din prioritet er arkitekturkontekst: hvilken kode der vender mod internettet, håndterer personoplysninger eller er ændret væsentligt.
• Du har brug for posture for repositories og pipelines på tværs af GitLab, Azure DevOps, Bitbucket eller Jenkins.

CRACI passer bedre, når

• Du bygger på GitHub Actions og vil have runner, egress-politik og registrering af afhængigheder samlet ét sted.
• Du har brug for en SBOM over det, hvert build hentede, med en fuldstændighedsstatus, du kan vise en revisor.
• Du vil have overvågning af det, du har leveret, og CRA-dokumentation.

Brug begge

Apiiro beskriver nu sin opgave som at sikre agentisk udvikling. Dets Guardian Agent styrer AI-kodeassistenter mod sikker kode, før den skrives, og dets XBOM kommer fra analyse af koden i dine repositories. CRACI er CI/CD med sikkerheden bygget ind i runneren, så dets SBOM registrerer, hvad hvert build faktisk hentede, inklusive det, som kodeanalyse ikke kan se: install-scripts, toolchains, cachede pakker og base-images. Apiiro arbejder der, hvor koden skrives, CRACI der, hvor den bygges og leveres. CRACI erstatter runneren, ikke GitHub Actions, så enhver Apiiro-pipeline-integration bliver ved med at virke.

I forhold til Cyber Resilience Act

Cyber Resilience Act kræver, at producenter kender komponenterne i hvert produkt, håndterer sårbarheder i dem og opbevarer dokumentation. En ASPM-platform hjælper med sikker udvikling og med håndtering af sårbarheder i din kode. CRACI automatiserer en væsentlig del af den indsigt i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere proces for CRA-compliance: SBOM'er fra buildet, sårbarhedssporing, provenance og SBOM-eksport som CycloneDX eller SPDX. Ingen af værktøjerne gør dig compliant alene. Se CRA-compliance.

Sådan tilføjer du CRACI

Installér CRACI's GitHub App i din organisation, og ændr derefter runner-labelen på et job til runs-on: craci. Kørslerne vises stadig i GitHubs brugerflade. Start med ét workflow, der producerer et release-artefakt, og sammenlign CRACI's SBOM med dit nuværende inventar. Læs mere om CI/CD-integration, SBOM-generering under buildet og priser.