CRACI vs. Cycode

Die kurze Antwort

Cycode bezeichnet sich als agentische Plattform für Entwicklungssicherheit und ist aus dem Application Security Posture Management (ASPM) hervorgegangen. Es verkauft Codesicherheit (SAST, SCA, Container- und IaC-Scans), Sicherheit der Software-Lieferkette (CI/CD-Sicherheit, Laufzeitschutz für Builds, Erkennung von Code-Leaks, SBOM, Secrets), Posture Management mit mehr als 100 Konnektoren und KI-Governance für die Entwicklung. Sein Baustein für die Build-Laufzeit, Cimon, ist ein eBPF-Agent, der in Ihren CI-Jobs läuft.

CRACI konkurriert um dasselbe Budget für die Lieferkette, und mit Cimon ist die Überschneidung real: Beide beobachten Builds, beide können den Egress von Builds beschränken, und beide erzeugen eine SBOM aus dem Build. Cimon signiert außerdem Provenienz; CRACI nicht. Der Unterschied liegt darin, wo das angesiedelt ist. Cycode fügt dem CI, das Sie bereits betreiben, über viele Systeme hinweg einen Agenten hinzu. CRACI ist der Runner für GitHub Actions, sodass Aufzeichnung und Richtlinie mit jedem Job kommen, und CRACI führt sie weiter in die Überwachung und die CRA-Nachweise. Cycode ist weitaus breiter; CRACI geht beim Build und beim Ausgelieferten tiefer.

Auf einen Blick

Was Cycode gut macht

Breite über den gesamten SDLC

• Codesicherheit: SAST und KI-SAST, SCA mit Erreichbarkeitsanalyse und Lizenz-Compliance, Container-Scans und Sicherheit für Infrastructure as Code.
• Secrets und Leaks: Cycode sucht nach offengelegten Secrets in Quellcode, Pipelines und Tools wie Jira, Slack und Confluence und erkennt geleakten Code.
• CI/CD-Sicherheit: Es überwacht Sicherheitsrichtlinien, Konfigurationen und Governance im CI/CD und hilft Teams mit der Durchsetzung von Richtlinien, Standards wie NIST SSDF zu erfüllen.
• Posture Management: Der Context Intelligence Graph verfolgt Schwachstellen über Code, Tool-Konfigurationen, Cloud-Infrastruktur und Zuständigkeiten hinweg, und ConnectorX bindet Befunde anderer Scanner ein.
• SBOMs: Cycode erzeugt SBOMs in SPDX oder CycloneDX, und sein Posture-Management-Plan nennt den Import von SBOMs.

Cimon, der Laufzeit-Agent für Builds

Cycode beschreibt Cimon als Laufzeitsicherheit, eine zur Laufzeit beobachtete SBOM und SLSA-Provenienz in einem einzigen Schritt für GitHub Actions oder Azure Pipelines. Es überwacht Prozessausführung, ausgehenden Netzwerkverkehr und Dateizugriffe auf Kernel-Ebene mit eBPF. Im Detect-Modus beobachtet es, ohne zu blockieren; sobald das normale Verhalten einer Pipeline feststeht, setzt es dieses durch, und die GitHub Action akzeptiert erlaubte Hosts und IPs. Cimon signiert Provenienz nach der Spezifikation SLSA Provenance v1.0, die laut Cycode auf einem gehosteten Runner mit Signatur über GitHub OIDC SLSA Build Level 2 erfüllt. Es läuft auch auf Jenkins, GitLab CI, Buildkite und Harness, und laut Cycode ist es kostenlos und Open Source.

Wo sich CRACI unterscheidet

Der Runner, nicht ein Agent darauf

Cimon wird den Runnern hinzugefügt, die Sie behalten; auf GitHub Actions läuft es als privilegierter Container, der den Prozess- und Netzwerk-Namespaces des Runners beitritt. Dadurch funktioniert es auf gehosteten Runnern und in vielen CI-Systemen. CRACI geht den anderen Weg und ersetzt den Runner. Sie ändern runs-on auf craci, und die Egress-Richtlinie ist Teil der Plattform: vor dem Start des Jobs validiert, unbekannte Felder werden abgelehnt, und im Zweifel blockiert sie (fail closed).

Pakete und Quellen, nicht nur Hosts

Die Egress-Richtlinie von CRACI ist nach Ökosystem typisiert. Sie hat 24 integrierte Presets für Softwarequellen, benutzerdefinierte Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git über HTTPS und SSH sowie explizite TLS-, TCP-, UDP- und ICMP-Regeln. Ein paketbewusster Proxy zeichnet auf, welche Pakete jeder Job geladen hat. Die Abhängigkeitsnachweise reisen mit CI-Caches, sodass ein aus einem Cache wiederhergestelltes Paket trotzdem in der Aufzeichnung steht, und jede SBOM trägt einen Vollständigkeitsstatus pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded.

Vom Build bis zum Ausgelieferten

• Provenienz: Die API liefert SBOMs, Netzwerk-Traces und Provenienz.
• Überwachung: CRACI bewertet die SBOMs dessen, was Sie ausgeliefert haben, laufend neu, sobald neue Schwachstellen auftauchen, zusammengeführt über Builds und Repositories hinweg.
• Export: SBOMs als CycloneDX oder SPDX, einschließlich Schwachstellen.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Wo Cycode vorn liegt

Um es klar zu sagen: CRACI hat keine SAST-, Secret-, IaC- oder Container-Scans, keine ASPM-Konnektoren, keine Überwachung von Prozessen oder Dateien und noch keinen Detect- oder Monitor-Modus (er ist auf der Roadmap). CRACI signiert keine Provenienz und beansprucht kein SLSA-Level, und es unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Wenn Sie eine Plattform für Ihren gesamten Code und jedes CI-System brauchen, deckt Cycode deutlich mehr ab.

Was zu Ihnen passt

Cycode passt besser, wenn

• Sie eine ASPM-Plattform für Code-Scans, Secrets, CI/CD-Posture und Priorisierung wollen.
• Sie Azure Pipelines, Jenkins, GitLab CI oder Buildkite einsetzen und dort Laufzeitschutz für Builds wollen.
• Sie GitHub-gehostete Runner behalten und ihnen einen Agenten hinzufügen wollen.

CRACI passt besser, wenn

• Sie auf GitHub Actions bauen und Runner, Egress-Richtlinie und Abhängigkeitsaufzeichnung an einem Ort wollen.
• Sie aus jedem Build eine SBOM auf Paketebene mit einem Vollständigkeitsstatus brauchen, den Sie einem Auditor zeigen können.
• Sie die Überwachung des Ausgelieferten und CRA-Nachweise aus derselben Aufzeichnung wollen.

Beide einsetzen

Code-Scans, Secret-Erkennung und Posture Management von Cycode decken Bereiche ab, die CRACI nicht berührt, daher können beide nebeneinander bestehen. Cimon ist die Ausnahme: Auf einem CRACI-Runner sind Build-Beobachtung und Egress-Kontrolle bereits Teil des Runners, CRACI ersetzt Cimon also, statt daneben zu laufen, es sei denn, Sie brauchen die signierte Provenienz von Cimon.

Weitere ASPM-Plattformen, Scanner und Runner-Agenten finden Sie unter Cycode-Alternativen.

Für den Cyber Resilience Act

Cycode positioniert seine Plattform für die CRA-Konformität mit automatisierter SBOM-Generierung, Schwachstellenverfolgung und dem Sammeln von Nachweisen für die technische Dokumentation. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen, ausgehend vom Build: SBOMs mit Vollständigkeitsstatus, Provenienz, Überwachung des Ausgelieferten und SBOM-Export als CRA-Nachweise. Keines der beiden Tools macht Sie für sich allein konform. Siehe was der CRA verlangt und CRA-Compliance.

CRACI hinzufügen

Installieren Sie die CRACI GitHub App in Ihrer Organisation und ändern Sie dann das Runner-Label eines Jobs auf runs-on: craci. Die Ausführungen erscheinen weiterhin in der GitHub-Oberfläche. Mehr über CI/CD-Integration, SBOM-Generierung während des Builds und Preise.