CRACI vs. Apiiro | Lieferkettensicherheit im Vergleich

Die kurze Antwort

Apiiro ist eine Plattform für Application Security Posture Management (ASPM). Die Deep Code Analysis bildet Ihre Softwarearchitektur vom Code bis zur Laufzeit ab, und der Risk Graph korreliert Befunde aus den eigenen Scannern von Apiiro und aus Tools von Drittanbietern. Das Modul für Software Supply Chain Security (SSCS) inventarisiert Repositories und Pipelines und markiert Risiken wie schwachen Branch-Schutz, Fehlkonfigurationen in Pipelines und auffällige Commits.

CRACI konkurriert um dasselbe Budget für „unsere Software-Lieferkette absichern“, aber aus einer anderen Position: Es führt Ihre GitHub-Actions-Jobs aus. Apiiro leitet ab, was laut Ihrem Code und Ihrer Pipeline-Konfiguration geschehen wird. CRACI zeichnet auf, was der Build getan hat, steuert seinen Netzwerk-Egress und behält im Blick, was Sie ausgeliefert haben. Ein großes AppSec-Programm nutzt womöglich beide. Ein Team, das vor allem Nachweise darüber braucht, was in jedes Release eingeflossen ist, beginnt womöglich mit CRACI.

Auf einen Blick

Funktion	CRACI	Apiiro
Führt Ihre Builds aus	Jobs laufen auf CRACI-Runnern	Verbindet sich über APIs mit Ihrem SCM und CI
Abhängigkeiten aus dem Build aufgezeichnet	Beobachtete Abrufe, einschließlich Paketen aus CI-Caches	Inventar per Deep Code Analysis aus dem Code erstellt
Software-Inventar	SBOM als CycloneDX oder SPDX, Vollständigkeit pro Job	Dynamische XBOM, bei jeder Codeänderung aktualisiert
Netzwerk-Egress-Richtlinie für den Build	Standardmäßig sperrend oder erlaubend, blockiert im Zweifel (fail closed)	Befunde zur Pipeline-Posture, keine Netzwerkkontrolle am Runner
Laufende Schwachstellenüberwachung	Überwachte SBOMs werden laufend neu bewertet	Erreichbarkeit, Abgleich von Code und Laufzeit, EPSS
Posture von Repositories und Pipelines		Schatten-Pipelines, Branch-Schutz, Berechtigungen, auffällige Commits
SAST, Secrets, IaC und API-Sicherheit		Nativ, neben AI SCA und Threat Modeling
Korreliert Befunde anderer Scanner		Risk Graph übernimmt eigene Befunde und Befunde von Drittanbietern
Abdeckung von Versionskontrolle und CI	Heute GitHub Actions; GitLab CI und Jenkins auf der Roadmap	GitHub, GitLab, Azure DevOps, Bitbucket, Jenkins

Enthalten
Nicht enthalten
Auf der Roadmap

Was Apiiro gut kann

Architekturkontext ohne CI-Änderungen. Apiiro verbindet sich über eine API-Integration mit Ihrem Source-Code-Manager und braucht nach eigener Aussage keine CI/CD-Konfiguration oder -Wartung. Die Deep Code Analysis bildet dann APIs, sensible Daten, GenAI-Frameworks und Code-Ownership ab, aktualisiert bei jedem Commit und jeder wesentlichen Änderung.
Sicherheit für KI-gestütztes Programmieren. Guardian Agent, im Januar 2026 eingeführt, arbeitet mit KI-Coding-Assistenten und ergänzt die Prompts der Entwickler um Sicherheitsrichtlinien aus Ihren Bedrohungsmodellen, Compliance-Richtlinien und Ihrer Architektur, sodass der Assistent von verwundbarem Code weggelenkt wird, bevor er ihn schreibt. AI Threat Modeling folgte im März 2026.
Breite. Apiiro nennt natives AI SAST, AI SCA, SSCS, Secrets, Infrastructure as Code, API-Sicherheit im Code, DSPM für Code und AI Threat Modeling. CRACI bietet keines der Code-Scannings in dieser Liste.
Priorisierung. Der Risk Graph übernimmt, dedupliziert und korreliert Befunde und verkettet sie zu „toxischen Kombinationen“. Das Beispiel von Apiiro: ein Repository mit personenbezogenen Daten, gebaut von einer verwundbaren Pipeline, das Commits auf einen Branch ohne verpflichtende Reviewer erhält. Aus drei mittleren Befunden wird ein kritisches Risiko.
Inventar der Software-Fabrik. SSCS inventarisiert Repositories und CI/CD-Pipelines, einschließlich Schatten-Pipelines, mit Beitragenden, Berechtigungen, Plugins und Abhängigkeiten. Es verfolgt Schwachstellen in Pipeline-Abhängigkeiten über ihren gesamten Lebenszyklus, und Guardrails können riskante Commits und Merges blockieren.
Abhängigkeitsanalyse und Fixes. AI SCA prüft, ob eine verwundbare Funktion tatsächlich aufgerufen wird, ordnet Abhängigkeiten bereitgestellten Containern und öffentlichen Endpunkten zu, erkennt schädliche Pakete und setzt Lizenzrichtlinien durch. AutoFix liefert Versionsanhebungen, die laut Apiiro vorab auf API-Kompatibilität geprüft sind.
Integrationen. GitHub, GitLab, Azure DevOps, Bitbucket und Perforce bei der Versionskontrolle, Jenkins und GitHub Actions für die Pipeline-Posture sowie eine lange Liste von Scannern, Registries und Ticketing-Tools.

Worin sich CRACI unterscheidet

Der Build ist die Quelle der Wahrheit

Die XBOM von Apiiro entsteht durch Analyse des Codes: jedes Paket, jede API, jedes KI-Modell und jede Lizenz, aktualisiert bei jeder Codeänderung. Das ergibt ein starkes Bild dessen, was Ihr Code deklariert und nutzt. Ein Build tut oft mehr, als der Code sagt. Er führt Install-Skripte aus, lädt Toolchains herunter, stellt Caches wieder her, zieht Basis-Images und holt Release-Binärdateien.

CRACI sieht diese Aktivität, weil es der Runner ist. Ein paketbewusster Proxy beobachtet während des Jobs den Datenverkehr zu Paketquellen, über npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen hinweg, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches mit, sodass auch ein aus einem Cache wiederhergestelltes Paket erfasst bleibt. Jede SBOM trägt einen Vollständigkeitsstatus pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Sie wissen, wann die Aufzeichnung eine Lücke hat.

Kontrolle am Runner, nicht nur Posture

Apiiro meldet Ihnen, wenn eine Pipeline falsch konfiguriert oder für Manipulation anfällig ist. CRACI begrenzt, was ein Build während der Ausführung erreichen kann. Egress-Richtlinien sind standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen, typisierten eigenen Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git sowie expliziten Regeln für TLS, TCP, UDP und ICMP. Sie werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed), und CRACI kann Sie bei einem Verstoß alarmieren.

Build-Nachweise über die API

Die API liefert SBOMs, Netzwerk-Traces und Provenienz.

Nach der Auslieferung

CRACI bewertet die SBOMs dessen, was Sie ausgeliefert haben, laufend neu, sobald neue Schwachstellen veröffentlicht werden, und führt Befunde über Builds und Repositories hinweg zusammen.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Wo Apiiro vorn liegt

Um es klar zu sagen: CRACI bietet kein SAST, kein Scanning von Secrets, IaC oder API-Sicherheit, übernimmt keine Befunde anderer Scanner, prüft weder Branch-Schutz noch Repository-Berechtigungen und unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. CRACI blockiert Builds über Policy-Gates und setzt Lizenzrichtlinien durch. Wenn Sie eine Plattform brauchen, die Risiken über Ihren gesamten Code hinweg priorisiert, deckt Apiiro weit mehr ab.

Welches Tool passt

Apiiro passt besser, wenn

Sie eine einzige ASPM-Plattform über viele Scanner, Repositories und SCM-Systeme hinweg wollen.
Ihre Priorität der Architekturkontext ist: Welcher Code ist aus dem Internet erreichbar, verarbeitet personenbezogene Daten oder hat sich wesentlich geändert?
Sie die Posture von Repositories und Pipelines über GitLab, Azure DevOps, Bitbucket oder Jenkins hinweg brauchen.

CRACI passt besser, wenn

Sie auf GitHub Actions bauen und Runner, Egress-Richtlinie und Abhängigkeitsaufzeichnung an einem Ort wollen.
Sie eine SBOM dessen brauchen, was jeder Build geladen hat, mit einem Vollständigkeitsstatus, den Sie einem Auditor zeigen können.
Sie eine Überwachung dessen, was ausgeliefert wurde, und CRA-Nachweise wollen.

Beide nutzen

Apiiro beschreibt sein Angebot inzwischen als Absicherung der agentischen Entwicklung. Sein Guardian Agent lenkt KI-Coding-Assistenten zu sicherem Code, bevor dieser geschrieben wird, und seine XBOM stammt aus der Analyse des Codes in Ihren Repositories. CRACI ist CI/CD mit in den Runner integrierter Sicherheit, seine SBOM zeichnet also auf, was jeder Build tatsächlich geladen hat, auch das, was Codeanalyse nicht sehen kann: Install-Skripte, Toolchains, gecachte Pakete und Basis-Images. Apiiro arbeitet dort, wo Code geschrieben wird, CRACI dort, wo er gebaut und ausgeliefert wird. CRACI ersetzt den Runner, nicht GitHub Actions, sodass jede Pipeline-Integration von Apiiro weiter funktioniert.

Für den Cyber Resilience Act

Der Cyber Resilience Act verlangt von Herstellern, die Komponenten jedes Produkts zu kennen, deren Schwachstellen zu behandeln und Nachweise aufzubewahren. Eine ASPM-Plattform hilft bei der sicheren Entwicklung und beim Umgang mit Schwachstellen in Ihrem Code. CRACI automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen: Build-Time-SBOMs, Schwachstellenverfolgung, Provenienz und SBOM-Export als CycloneDX oder SPDX. Keines der beiden Tools macht Sie allein konform. Siehe CRA-Compliance.

CRACI hinzufügen

Installieren Sie die CRACI GitHub App in Ihrer Organisation und ändern Sie dann das Runner-Label eines Jobs auf runs-on: craci. Die Ausführungen erscheinen weiterhin in der GitHub-Oberfläche. Beginnen Sie mit einem Workflow, der ein Release-Artefakt erzeugt, und vergleichen Sie die SBOM von CRACI mit Ihrem aktuellen Inventar. Mehr über CI/CD-Integration, SBOM-Generierung während des Builds und Preise.