CRACI vs Wiz

Det korte svar

Wiz er en cloud-sikkerhedsplatform og siden 11. marts 2026 en del af Google. Wiz Code er dets kodesikkerhedsprodukt: Det scanner kode, afhængigheder, secrets og IaC, tjekker indstillinger for versionsstyring og CI/CD og forbinder det, det finder, med de cloud-ressourcer, koden ender med at køre på. I april 2026 udvidede Wiz Wiz Code til GitHub Actions: Det parser nu workflow-filer, modellerer workflows, jobs og runnere på sin Security Graph og markerer risikable triggers, rettigheder, tredjeparts-actions og konfigurationer af AI-agenter.

Det er konfigurationsanalyse: Det fortæller dig, hvilke workflows der kunne misbruges. CRACI arbejder ét lag længere nede. Det er runneren til GitHub Actions, så det registrerer de pakker, hvert job faktisk trak ind, håndhæver en egress-politik, mens jobbet kører, og bliver ved med at overvåge det leverede. Wiz dækker langt mere, fra kode til cloud; CRACI dækker, hvad der sker inde i buildet.

Overblik

"Ikke oplyst" betyder, at vi ikke kunne bekræfte det på Wiz' offentlige sider.

Hvad Wiz gør godt

Fra kode til cloud

• Cloud-kontekst. Kernen i Wiz er cloud-sikkerhed på tværs af AWS, Azure, Google Cloud og Oracle Cloud. Det scanner VM'er, containere og serverless-funktioner uden agenter og rangerer sårbarheder med kontekst fra sin Security Graph: netværkseksponering, identiteter, datafølsomhed og angrebsstier.
• Kortlægning fra kode til cloud. Wiz Code sporer en risiko fundet i cloud tilbage til den kildekode, der producerede den, og foreslår rettelsen i den kode. For et team, der allerede bruger Wiz, lander kodefund i den samme graf som alt andet.
• Scanning ét sted. SCA og SBOM for direkte og transitive afhængigheder, IaC-scanning af Terraform, CloudFormation, Azure Resource Manager, Kubernetes og Docker mod mere end 1.000 regler, secrets i kode, IaC-skabeloner og container-images, følsomme data såsom PII og PHI og malwarescanning af kodebasen "before it reaches your CI runners". Wiz SAST og fund fra tredjepartsscannere gør billedet komplet.

GitHub Actions og CI/CD-posture

• Workflows i grafen. Wiz parser workflow-YAML fra GitHub Actions og modellerer workflows, jobs, runnere og deres relationer, så en pipeline bliver et aktiv, der kan forespørges, med kontekst om, hvad der udløser den, og hvad den har adgang til.
• Risikabel konfiguration. Det markerer farlige triggers såsom pull_request_target, analyserer de rettigheder, der er deklareret i workflow-filer, og opretter issues ved risikable eller for vide rettigheder, viser risikable inputs og mulige lækager af secrets i pipeline-definitioner, kortlægger de tredjeparts-actions, hvert workflow bruger, og markerer AI-agenter i workflows, der er åbne for prompt injection.
• Benchmarks. Wiz Code tjekker versionsstyrings- og CI/CD-systemer for fejlkonfigurationer og usikre standardindstillinger med OpenSSF Best Practices, OWASP Top 10 CI/CD Risks og CIS-benchmarks for GitHub og GitLab.
• Trusselsdetektion. Wiz indlæser auditlogs fra versionsstyrings- og CI/CD-platforme for at fange hændelser såsom en mistænkelig clone eller en slettet branch protection-regel, og dets Sensor på selvhostede CI-runnere kan opdage mistænkelig aktivitet, såsom en runner, der kontakter et crypto-mining-domæne.

Hvor CRACI er anderledes

Håndhævelse inde i jobbet, ikke fund om det

Wiz' meddelelse beskriver inventar, analyse og fund. Den beskriver ikke kontrol over, hvad et job kan nå, mens det kører. CRACI's egress-politik er en del af runneren. Politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. De valideres, før jobbet starter, og blokerer ved fejl (fail closed), og CRACI advarer dig ved en overtrædelse.

Det betyder noget, fordi forsyningskædeangreb kører inde i jobs, der ser korrekt konfigurerede ud. Wiz' egen forskning i den anden Shai-Hulud-bølge viste, at de fleste infektioner kørte i CI/CD-pipelines. Et posture-fund kan fortælle dig, at et workflow er eksponeret; det kan ikke stoppe en kompromitteret pakke, der allerede kører. Med en default deny-politik bliver en forbindelse til en host, buildet ikke har brug for, blokeret, selv ved et angreb, ingen har set før.

Det, buildet hentede, ikke det, koden deklarerer

Wiz Codes SCA scanner afhængighederne i din kode, og dets agentløse SBOM'er beskriver cloud-workloads. CRACI ser den trafik, der kommer ind i hvert build: En pakkebevidst proxy registrerer hver pakke, jobbet hentede, på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets, inklusive pakker gendannet fra CI-caches. Sådan registrerer CRACI de skjulte afhængigheder, som lockfile-baserede værktøjer overser, såsom kode downloadet af npm-install-hooks eller lagene i base-imaget i et container-build. De GitHub Actions, et workflow kørte, er også i SBOM'en, pinnet til det commit, der blev brugt. Hver SBOM har en fuldstændighedsstatus pr. job og pr. cache, så har registreringen et hul, siger den det.

Dokumentation fra buildet

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau. CRACI bliver ved med at genvurdere SBOM'erne for det, du har leveret, efterhånden som nye sårbarheder offentliggøres, og viser hvert tidligere build, der indeholdt en sårbar afhængighed, så du ved, hvor længe du var eksponeret.

Hvor Wiz er foran

For at sige det ligeud: CRACI har ingen SAST-, secrets-, IaC- eller malwarescanning, ingen posture-tjek af CI/CD, ingen procesovervågning på runnere, ingen cloud-sikkerhed og ingen kortlægning fra kode til cloud. Det kører kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Er din prioritet ét billede af risiko fra kode til cloud, dækker Wiz meget mere.

Hvilken passer bedst

Wiz passer bedst, når

• du allerede bruger Wiz til cloud-sikkerhed og vil have kode- og pipeline-risiko i den samme graf.
• du vil finde risikable workflow-triggers, rettigheder og tredjeparts-actions på tværs af mange repositories.
• du har brug for SAST-, secrets-, IaC- og malwarescanning med cloud-kontekst til prioritering.
• du kører selvhostede runnere og vil have trusselsdetektion på dem.

CRACI passer bedst, når

• du vil have en egress-politik håndhævet inde i hvert GitHub Actions-job, ikke kun fund om workflowet.
• du har brug for en SBOM over det, hvert build faktisk hentede, med en fuldstændighedsstatus, du kan vise en auditor.
• du vil have overvågning af det leverede og build-historik fra den samme registrering.

Brug begge

Wiz Codes posture-tjek, kodescanning og cloud-sikkerhed dækker områder, som CRACI bevidst ikke rører, så de bliver, hvor de er. CRACI erstatter runneren, ikke GitHub Actions: Dine workflows og repositories bliver i GitHub, så Wiz bliver ved med at analysere de samme workflow-filer, mens jobbene kører på CRACI. CRACI kører også builds omkring dobbelt så hurtigt som GitHub-hostede runnere takket være hurtigere hardware, kortere køtider og caching og tager kun betaling for build-minutter. Se CRACI's priser.

Til Cyber Resilience Act

Cyber Resilience Act er et af flere rammeværker, der kræver en SBOM og en proces for håndtering af sårbarheder. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for forsyningskæden, som en CRA-proces har brug for: SBOM'er fra buildet eksporteret som CycloneDX eller SPDX, sårbarhedssporing og provenance via API'et. Se CRA-dokumentation. Ingen af værktøjerne gør et produkt compliant alene.

For andre platforme på området, se CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni og værktøjer til forsyningskædesikkerhed for software.

Spørgsmål og svar om Wiz

Hvad er Wiz Code?

Wiz Code er kodesikkerhedsdelen af cloud-sikkerhedsplatformen Wiz. Det scanner kode for sårbare afhængigheder, secrets, IaC-fejlkonfigurationer, følsomme data og malware, tilføjer SAST og fund fra tredjepartsscannere, tjekker indstillinger for versionsstyring og CI/CD mod benchmarks og sporer cloud-risici tilbage til den kildekode, der forårsagede dem.

Sikrer Wiz Code GitHub Actions?

Wiz Code analyserer konfigurationen af GitHub Actions. Siden april 2026 parser det workflow-YAML-filer og modellerer workflows, jobs, runnere og deres relationer på Wiz Security Graph, markerer farlige triggers såsom pull_request_target, opretter issues ved risikable eller for vide rettigheder, kortlægger tredjeparts-actions og markerer risikable opsætninger af AI-agenter. Wiz' meddelelse beskriver ikke kontrol over, hvad et job kan nå, mens det kører. CRACI er runneren, så det håndhæver en egress-politik inde i hvert job.

Er Wiz en del af Google?

Ja. Google gennemførte sit opkøb af Wiz den 11. marts 2026. Wiz siger, at det fortsat er en multi-cloud-platform, der dækker AWS, Azure, Google Cloud og Oracle Cloud.

Hvad koster Wiz?

Wiz offentliggør ikke listepriser. Pr. september 2026 beskriver dets prisside samlede pakker og à la carte-muligheder, med tilbud efter anmodning. CRACI tager kun betaling for build-minutter: $0.002 pr. vCPU-minut ($0.004 for en standard-runner med 2 vCPU), målt pr. sekund, uden månedligt gebyr.

Kan CRACI erstatte Wiz Code?

Ikke som helhed. CRACI har ingen SAST-, secrets-, IaC- eller malwarescanning, ingen posture-tjek af CI/CD og ingen cloud-sikkerhed. Til GitHub Actions-builds tilføjer CRACI det, konfigurationsanalyse ikke kan: Det er runneren, så det registrerer de pakker, hvert job hentede, og håndhæver en egress-politik, mens jobbet kører.