CRACI vs Xygeni

Det korte svar

Xygeni er en platform til applikationssikkerhed fra Valladolid i Spanien. Den beskriver sig selv som "one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end". Dens moduler dækker SAST, SCA med reachability og malwaredetektion, secrets, IaC, containere, CI/CD-sikkerhed, build-sikkerhed med SLSA- og in-toto-attesteringer, anomalidetektion, DAST, API-sikkerhed og et ASPM-lag. Den offentliggør sine priser og har en gratis plan. Den kører ikke builds: Den kobles på de CI-systemer, du allerede bruger.

CRACI konkurrerer om det samme forsyningskædebudget fra en anden vinkel. Det er runneren til GitHub Actions: Det registrerer de pakker, hvert job faktisk trak ind, håndhæver en egress-politik, mens jobbet kører, og bliver ved med at overvåge det leverede. Xygeni er langt bredere inden for AppSec; CRACI går dybere i buildet og det, der kom ud af det.

Overblik

"Ikke oplyst" betyder, at vi ikke kunne bekræfte det på Xygenis offentlige sider.

Hvad Xygeni gør godt

• Bredde på én platform. SAST med AI-autofix, SCA med reachability og automatiske pull requests med opgraderinger, detektion af secrets med automatisk tilbagekaldelse, IaC- og container-image-scanning og på Enterprise DAST, API-sikkerhed og ASPM med indlæsning af tredjepartsdata.
• Malware i open source. Xygeni siger, at det analyserer tusindvis af nye og opdaterede open source-pakker hver dag, bruger en ML-assisteret motor til at opdage ukendt malware, sætter mistænkelige pakker i karantæne og kan blokere dem med en dependency firewall. Det går ud over at matche CVE'er.
• CI/CD-sikkerhed. Det leder efter fejlkonfigurationer i build-scripts og pipelines, håndterer OWASP Top 10 CI/CD-risici, tjekker indstillinger som branch protection og multifaktorgodkendelse og markerer skadelige kommandoer i pipelines, såsom reverse shells og malware-downloads.
• Build-attesteringer. Build Security tilføjer én linje til en pipeline for at samle dokumentation fra hvert trin af buildet og generere SLSA-provenance og in-toto-attesteringer, signeret med keyless signaturer. Attesteringer kan indeholde sårbarhedsscanninger, SBOM'er i SPDX eller CycloneDX og testresultater, og manipulerede artefakter kan blokeres før levering.
• Anomalidetektion. Sensorer til GitHub, GitLab, Jenkins og Azure holder øje med uautoriserede ændringer af kode, afhængigheder, pipelines og build-konfiguration og advarer i realtid.
• Bred CI-dækning og offentliggjorte priser. Xygeni angiver integrationer med GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI og Travis CI og tilbyder deployment on premises på Enterprise.

Hvor CRACI er anderledes

Registreret fra buildet, ikke læst fra beskrivelser

Xygenis dokumentation siger, at dets analysatorer behandler afhængighedsbeskrivelser for at udtrække direkte og indirekte afhængigheder og fastlægge deres versioner. Det er standardmåden at bygge en SBOM på ud fra et repository. CRACI ser i stedet den trafik, der kommer ind i hvert build: En pakkebevidst proxy registrerer hver pakke, jobbet hentede, på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Pakker gendannet fra CI-caches bliver i registreringen.

Sådan registrerer CRACI de skjulte afhængigheder, som lockfile-baserede værktøjer overser: kode downloadet af npm-install-hooks, Rust-build-scripts, der henter under buildet, og lagene i base-imaget i et container-build. Hver SBOM har en fuldstændighedsstatus pr. job og pr. cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded), så har registreringen et hul, siger den det.

Kontrol, mens buildet kører

Xygenis CI/CD-tjek ser på, hvordan pipelines er konfigureret, og hvilke kommandoer de indeholder. CRACI begrænser, hvad buildet kan nå. Egress-politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. De valideres, før jobbet starter, og blokerer ved fejl (fail closed). Fordi en default deny-politik kun tillader det, buildet har brug for, bliver en kompromitteret pakke, der forsøger at sende dine secrets til en ukendt host, blokeret, selv ved et angreb, ingen har set før, og CRACI advarer dig om overtrædelsen.

Provenance og overvågning fra én registrering

Xygeni signerer attesteringer fra et trin tilføjet til den pipeline, du kører. CRACI's registrering kommer fra den runner, jobbet kørte på: API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau. CRACI bliver ved med at genvurdere SBOM'erne for det, du har leveret, efterhånden som nye sårbarheder offentliggøres, og viser hvert tidligere build, der indeholdt en sårbar afhængighed, så du ved, hvor længe du var eksponeret.

Runneren er en del af produktet

Fordi CRACI er runneren, følger dokumentationen med compute: Kørsler vises stadig i GitHub, og CRACI kører builds omkring dobbelt så hurtigt som GitHub-hostede runnere takket være hurtigere hardware, kortere køtider og caching. CRACI tager kun betaling for build-minutter, $0.002 pr. vCPU-minut ($0.004 for en standard-runner med 2 vCPU), målt pr. sekund, uden månedligt gebyr og uden betaling pr. SBOM. Se CRACI's priser.

Hvilken passer bedst

Xygeni passer bedst, når

• du vil have én AppSec-platform til SAST, SCA, secrets, IaC, containere og pipeline-konfiguration.
• du vil have ondsindede open source-pakker opdaget og blokeret, før der findes en advisory.
• du bygger på GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI eller Travis CI.
• du har brug for SLSA- og in-toto-attesteringer eller deployment on premises.
• et lille team vil starte på en gratis plan med offentliggjorte priser.

CRACI passer bedst, når

• du bygger på GitHub Actions og vil have runner, egress-politik og registrering af afhængigheder ét sted.
• du har brug for en SBOM over det, hvert build faktisk hentede, med en fuldstændighedsstatus, du kan vise en auditor.
• du vil have overvågning af det leverede og build-historik fra den samme registrering.

Det, du opgiver ved at flytte build-dokumentation til CRACI

For den software, du bygger på GitHub Actions, overtager CRACI opgaven fra Xygenis SBOM-eksport: Registreringen, provenance-dataene og overvågningen kommer fra runneren. Sagt ligeud er prisen denne: CRACI har ingen reachability-analyse, opdager ikke nye ondsindede pakker ud fra adfærd eller omdømme (det markerer kendte ondsindede releases, når en advisory med en CVE er offentliggjort), åbner ingen pull requests med opgraderinger, signerer ikke provenance, gør ikke krav på noget SLSA-niveau, har ingen anomalidetektion på tværs af versionsstyring og kører kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.

Xygenis SAST-, secrets-, IaC- og CI/CD-posture-tjek dækker områder, som CRACI bevidst ikke rører, så de kan blive, hvor de er. CRACI erstatter runneren, ikke GitHub Actions, så et scanningstrin kører på en CRACI-runner som ethvert andet trin.

Til Cyber Resilience Act

Cyber Resilience Act er et af flere rammeværker, der kræver en SBOM og en proces for håndtering af sårbarheder. Xygeni angiver compliance-tjek af softwareforsyningskæden mod CIS og OpenSSF på sin Business-plan. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for forsyningskæden, som en CRA-proces har brug for: SBOM'er fra buildet eksporteret som CycloneDX eller SPDX, sårbarhedssporing og provenance via API'et. Se CRA-dokumentation. Ingen af værktøjerne gør et produkt compliant alene.

For andre platforme på området, se CRACI vs Cycode, CRACI vs OX Security, CRACI vs Wiz og værktøjer til forsyningskædesikkerhed for software.

Spørgsmål og svar om Xygeni

Hvad er Xygeni?

Xygeni er en platform til applikationssikkerhed fra Valladolid i Spanien. Den kombinerer sine egne scannere (SAST, SCA med reachability og malwaredetektion, secrets, IaC, containere, CI/CD-sikkerhed og valgfrit DAST og API-sikkerhed) med et ASPM-lag samt build-sikkerhed med SLSA- og in-toto-attesteringer og anomalidetektion på tværs af versionsstyring og CI-systemer.

Hvad koster Xygeni?

Pr. september 2026 viser Xygenis prisside en gratis plan med SAST, SCA, secrets og et IDE-plugin til op til 10 repositories, 200 scanninger om måneden og 5 bidragydere. Team starter ved omkring $3,828 (€3,300) om året og Business ved omkring $6,844 (€5,900) om året, begge med 10 bidragydere, og Enterprise prissættes efter tilbud. En bidragyder er enhver, der har committet til et scannet repository inden for de seneste 90 dage. Build Security og Anomalies Detection er Enterprise-muligheder.

Leverer Xygeni CI-runnere?

Nej. Xygeni integrerer med de CI-systemer, du kører, såsom GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI og Travis CI, og tilføjer sine scannere og sit attesteringstrin til dine pipelines. CRACI er runneren: GitHub Actions-jobs kører på CRACI, som registrerer, hvad hvert job hentede, og styrer, hvad det kan nå.

Hvad er forskellen på Xygeni og CRACI?

Xygeni er en bred AppSec-platform, der scanner kode, afhængigheder, secrets, IaC og pipeline-konfiguration på tværs af mange CI-systemer. CRACI er en GitHub Actions-runner, der registrerer de pakker, hvert build faktisk hentede, håndhæver en egress-politik, mens det kører, og bliver ved med at overvåge det leverede. Xygeni er langt bredere; CRACI registrerer selve buildet.

Kan CRACI erstatte Xygeni?

Til build-dokumentationen for software, du bygger på GitHub Actions, ja: CRACI's registrerede SBOM, provenance og sårbarhedsovervågning dækker den opgave. CRACI erstatter ikke Xygenis SAST, secrets, IaC, posture-tjek af CI/CD, malwaredetektion eller reachability-analyse, og det kører kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.