CRACI vs Safeguard

Det korte svar

Safeguard sælger en platform til forsyningskædesikkerhed for software. Dets website siger, at det finder sårbarheder, også dem, der endnu ikke har en CVE, filtrerer dem med reachability-analyse og lader sine Griffin AI-modeller skrive patchen, køre din CI og merge pull requesten i henhold til din politik. Det genererer SBOM'er i CycloneDX og SPDX, registrerer SLSA-provenance, knytter dokumentation til compliance-rammeværker og kører i cloud, on premises eller air-gapped. Det kører ikke builds: Dets CLI kører i den CI, du allerede har.

CRACI konkurrerer om det samme forsyningskædebudget fra en anden vinkel. Det er runneren til GitHub Actions: Det registrerer de pakker, hvert job faktisk trak ind, håndhæver en egress-politik, mens jobbet kører, og bliver ved med at overvåge det leverede. Safeguard dækker mere omkring koden; CRACI går dybere i buildet og det, der kom ud af det.

Overblik

Safeguards kolonne afspejler, hvad dets eget website og dokumentation oplyser, tjekket den 29. september 2026. "Ikke oplyst" betyder, at vi ikke kunne bekræfte det dér.

Hvad Safeguard gør godt

• Rettelser, ikke kun fund. Safeguard siger, at Griffin AI beviser reachability, skriver en kompatibel opgradering, kører din CI og regressionssuite i en sandboxed branch og merger i henhold til dine policy gates. Hver betalt plan indeholder en månedlig kvote af pull requests med rettelser.
• Reachability først. Fund filtreres ned til sårbar kode, din applikation faktisk kan nå, hvilket holder køen kort.
• Ud over afhængigheder. Dets CLI rapporterer også secrets og fejlkonfigurationer som SARIF, der dukker op under fanen code scanning i GitHub, og platformen beskriver scanning af kildekode, IaC og containere.
• Hærdede komponenter. Et offentligt Gold-katalog og -registry med hærdede images og pakker, så teams kan starte fra komponenter uden kendte CVE'er.
• Leverandørrisiko. En Third Party Risk Manager scorer leverandører og verificerer de SBOM'er, de leverer, og en Portal stiller dine SBOM'er til rådighed for kunder.
• CI-bredde, deployment-muligheder og en gratis plan. Dets dokumentation dækker GitHub Actions, GitLab CI/CD, Jenkins og Azure DevOps. Det tilbyder deployment on premises og air-gapped på sit Sovereign-niveau, offentliggør selvbetjeningspriser og har en gratis plan uden krav om betalingskort.

Hvor CRACI er anderledes

Registreret fra buildet, ikke scannet bagefter

Safeguards dokumentation siger, at dets CLI kører Syft og Grype, og at det bygger SBOM'er ud fra forbundne repositories, container-images og uploadede manifester såsom package.json og requirements.txt. Det er standardmåden at bygge en SBOM på: Læs filerne, og find ud af, hvad der gik ind. CRACI ser i stedet den trafik, der kommer ind i hvert build. En pakkebevidst proxy registrerer hver pakke, jobbet hentede, på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets, og pakker gendannet fra CI-caches bliver i registreringen.

Sådan registrerer CRACI de skjulte afhængigheder, som lockfile-baserede værktøjer overser: kode downloadet af npm-install-hooks, Rust-build-scripts, der henter under buildet, og lagene i base-imaget i et container-build. Hver SBOM har en fuldstændighedsstatus pr. job og pr. cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded), så har registreringen et hul, siger den det.

Kontrol, mens buildet kører

En scanner rapporterer, hvad den finder, bagefter. Fordi CRACI er runneren, afgør det, hvilke hosts et job må nå, mens det kører. Egress-politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder, valideres, før jobbet starter, og blokerer ved fejl (fail closed). Med en default deny-politik bliver en kompromitteret pakke, der forsøger at sende dine secrets til en ukendt host, blokeret, selv ved et angreb, ingen har set før, og CRACI advarer dig om overtrædelsen.

Provenance og overvågning fra én registrering

Safeguard siger, at det genererer, gemmer og verificerer SLSA-provenance. CRACI's provenance kommer fra den runner, jobbet kørte på: API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau. Det bliver ved med at genvurdere SBOM'erne for det, du har leveret, efterhånden som nye sårbarheder offentliggøres, og viser hvert tidligere build, der indeholdt en sårbar afhængighed, så du ved, hvor længe du var eksponeret.

Runneren er en del af produktet

Fordi CRACI er runneren, følger dokumentationen med compute: Kørsler vises stadig i GitHub, og CRACI kører builds omkring dobbelt så hurtigt som GitHub-hostede runnere takket være hurtigere hardware, kortere køtider og caching. CRACI tager kun betaling for build-minutter, $0.002 pr. vCPU-minut ($0.004 for en standard-runner med 2 vCPU), målt pr. sekund, uden månedligt gebyr og uden betaling pr. SBOM. Se CRACI's priser.

Hvilken passer

Safeguard passer bedst, når

• du vil have pull requests med rettelser skrevet, testet og merget for dig.
• du vil have reachability-analyse og fund af secrets og fejlkonfigurationer på samme platform.
• du bygger på GitLab, Jenkins eller Azure DevOps.
• du har brug for deployment on premises eller air-gapped i dag.
• du vil have et registry med hærdede komponenter eller scoring af leverandørrisiko ved siden af dine SBOM'er.

CRACI passer bedst, når

• du bygger på GitHub Actions og vil have runner, egress-politik og registrering af afhængigheder ét sted.
• du har brug for en SBOM over det, hvert build faktisk hentede, med en fuldstændighedsstatus, du kan vise en auditor.
• du vil have overvågning af det leverede og build-historik fra den samme registrering.

Erstat Safeguard med CRACI

For den software, du bygger på GitHub Actions, overtager CRACI SBOM- og overvågningsopgaven: Det registrerer SBOM'en i buildet med angivet fuldstændighed, bliver ved med at genvurdere overvågede SBOM'er, samler fund på tværs af builds og repositories og lader sikkerhedsteams triagere dem og sende hvert enkelt videre til det team, der ejer rettelsen. Policy gates kan blokere et build på baggrund af fund, herunder en bestemt CVE.

Vær klar over, hvad du opgiver. CRACI åbner ingen pull requests med rettelser, har ingen reachability-analyse, scanner ikke for secrets eller fejlkonfigurationer, tilbyder intet registry med hærdede komponenter, har ingen signeret provenance eller noget SLSA-niveau, opdager ikke nye ondsindede pakker ud fra adfærd (det markerer kendte ondsindede releases, når en advisory med en CVE er offentliggjort) og har ingen mulighed for on premises eller air-gapped i dag. Det kører kun GitHub Actions, med GitLab CI og Jenkins på roadmappen. Betyder automatiseret afhjælpning eller de deployment-muligheder mere end en registrering af, hvad hver release blev bygget af, passer Safeguard bedre.

Det skal du tjekke, før du køber et SBOM-værktøj

Disse spørgsmål gælder for alle leverandører i denne kategori, også CRACI.

• Hvordan produceres SBOM'en? Spørg, hvilket værktøj der genererer den, og ud fra hvad: lockfiles og manifester, en scanning af det færdige image eller en registrering af buildet. Kør det derefter på et af dine egne builds, og sammenlign komponentlisterne, inklusive transitive afhængigheder.
• Tjek certificeringer hos udstederen. Et certifikat eller en autorisation kan bekræftes hos det organ, der udstedte det, og at være designet til eller på linje med et rammeværk er ikke det samme som at have det. Safeguards sikkerhedsside beskriver dets arkitektur som designet til FedRAMP High og IL5 og dets SOC 2 Type II-audit som i gang; i overensstemmelse med den formulering var Safeguard ikke opført på FedRAMP Marketplace, da vi tjekkede den 29. september 2026. CRACI har ISO/IEC 27001-certificering fra Into Certification, med detaljer i sit Trust Center.
• Bed om referencer. Safeguards website beskriver sine kunder anonymt, under NDA. Uanset hvilken leverandør du overvejer, også CRACI, så bed om en referencesamtale med et team som dit.
• Få prisen bekræftet skriftligt. Offentliggjorte priser ændrer sig. Safeguards prisside bemærker, at dens tal er foreslåede og afventer endelig godkendelse.

SBOM-krav

Flere rammeværker kræver en SBOM og en måde at håndtere sårbarheder i den på: Det amerikanske Executive Order 14028 former føderal indkøbsvejledning om SBOM'er, FDA section 524B kræver en til cyberenheder, og EU's Cyber Resilience Act kræver, at producenter dokumenterer deres komponenter. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for forsyningskæden, som de processer har brug for: SBOM'er fra buildet eksporteret som CycloneDX eller SPDX, sårbarhedssporing og provenance via API'et. Se CRA-dokumentation. Ingen af værktøjerne gør et produkt compliant alene.

Andre værktøjer på området finder du i CRACI vs Anchore, CRACI vs Syft og Grype og SBOM-værktøjer sammenlignet.

Spørgsmål om Safeguard, besvaret

Hvad er Safeguard?

Safeguard (Safeguard.sh Inc, Dublin, Californien, ifølge dets website) sælger en platform til forsyningskædesikkerhed for software. Dets website beskriver SBOM-generering i CycloneDX og SPDX, SLSA-provenance, reachability-analyse, AI-skrevne pull requests med rettelser fra dets Griffin-modeller, styring af tredjepartsrisiko, et registry med hærdede komponenter og deployment i cloud, on premises eller air-gapped.

Hvordan genererer Safeguard SBOM'er?

Ifølge dets dokumentation bygger Safeguard SBOM'er ud fra forbundne repositories, container-images og uploadede pakkemanifester, og dets CLI (safeguard scan) kører Syft og Grype i din pipeline. Dets sammenligning med Anchore angiver dets SBOM som CycloneDX og SPDX "via Syft". CRACI scanner ikke: Det kører buildet og registrerer de pakker, hvert job hentede.

Leverer Safeguard CI-runnere?

Nej. Safeguards CI-dokumentation viser, at dets CLI kører inde i pipelines i GitHub Actions, GitLab CI/CD, Jenkins og Azure DevOps, som du selv driver, og bemærker, at CLI'en rapporterer fund uden at få buildet til at fejle; håndhævelsen sker i platformens policy gates. CRACI er runneren: GitHub Actions-jobs kører på CRACI, som registrerer, hvad hvert job hentede, og styrer, hvad det kan nå.

Hvad koster Safeguard?

Pr. september 2026 angiver Safeguards prisside en gratis plan med 5 pull requests med rettelser, 100 scannede komponenter og 100 MCP-værktøjskald om måneden; individuelle planer til $9, $25, $49 og $99 om måneden; Team-planer til $19, $49 og $99 pr. bruger om måneden med et minimum på to brugere; og Business, Enterprise og Sovereign efter tilbud. Compliance-pakker koster $2,099 pr. rammeværk pr. år. Siden bemærker, at dens tal er foreslåede og afventer endelig godkendelse, så bekræft de aktuelle priser hos Safeguard. CRACI tager kun betaling for build-minutter: $0.002 pr. vCPU-minut ($0.004 for en standard-runner med 2 vCPU), målt pr. sekund.

Kan CRACI erstatte Safeguard?

Til SBOM'er, provenance og sårbarhedsovervågning af software, du bygger på GitHub Actions, ja: CRACI producerer SBOM'en fra selve buildet og bliver ved med at overvåge den. CRACI erstatter ikke Safeguards AI-pull requests med rettelser, reachability-analyse, detektion af secrets og fejlkonfigurationer, registry med hærdede komponenter eller air-gapped deployment, og det kører kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.