CRACI vs. Safeguard

Die kurze Antwort

Safeguard verkauft eine Plattform für Software-Lieferkettensicherheit. Laut Website findet sie Schwachstellen, auch solche, die noch keine CVE haben, filtert sie per Erreichbarkeitsanalyse und lässt ihre Griffin-KI-Modelle den Patch schreiben, Ihr CI ausführen und den Pull Request nach Ihrer Policy mergen. Sie erzeugt SBOMs in CycloneDX und SPDX, zeichnet SLSA-Provenienz auf, ordnet Nachweise Compliance-Frameworks zu und läuft in der Cloud, On-Premises oder Air-Gapped. Builds führt sie nicht aus: Ihre CLI läuft in dem CI, das Sie bereits haben.

CRACI konkurriert von einer anderen Position aus um dasselbe Budget für Lieferkettensicherheit. Es ist der Runner für GitHub Actions: Es zeichnet die Pakete auf, die jeder Job tatsächlich geladen hat, setzt während des Jobs eine Egress-Richtlinie durch und überwacht das Ausgelieferte weiter. Safeguard deckt rund um den Code mehr ab; CRACI geht beim Build und dem, was daraus hervorging, tiefer.

Auf einen Blick

Die Spalte zu Safeguard gibt wieder, was die eigene Website und Dokumentation angeben, geprüft am 29. September 2026. „Keine Angabe“ bedeutet, dass wir es dort nicht bestätigen konnten.

Was Safeguard gut kann

• Fixes, nicht nur Befunde. Laut Safeguard belegt Griffin AI die Erreichbarkeit, erstellt ein kompatibles Upgrade, führt Ihr CI und Ihre Regressionstests in einem Sandbox-Branch aus und mergt gemäß Ihren Policy-Gates. Jeder kostenpflichtige Plan enthält ein monatliches Kontingent an Fix-Pull-Requests.
• Erreichbarkeit zuerst. Befunde werden auf verwundbaren Code gefiltert, den Ihre Anwendung tatsächlich erreichen kann, was die Warteschlange kurz hält.
• Über Abhängigkeiten hinaus. Die CLI meldet außerdem Secrets und Fehlkonfigurationen als SARIF, was im Code-Scanning-Tab von GitHub erscheint, und die Plattform beschreibt das Scannen von Quellcode, IaC und Containern.
• Gehärtete Komponenten. Ein öffentliches Gold-Verzeichnis und eine Registry gehärteter Images und Pakete, sodass Teams mit Komponenten ohne bekannte CVEs starten können.
• Lieferantenrisiko. Ein Third Party Risk Manager bewertet Anbieter und prüft die von ihnen gelieferten SBOMs, und ein Portal veröffentlicht Ihre SBOMs für Kunden.
• Breite CI-Abdeckung, Bereitstellungsoptionen und ein kostenloser Plan. Die Dokumentation deckt GitHub Actions, GitLab CI/CD, Jenkins und Azure DevOps ab. Safeguard bietet On-Premises- und Air-Gapped-Bereitstellung in der Sovereign-Stufe, veröffentlicht Self-Service-Preise und hat einen kostenlosen Plan ohne Kreditkarte.

Worin sich CRACI unterscheidet

Aus dem Build aufgezeichnet, nicht nachträglich gescannt

Laut der Dokumentation von Safeguard führt seine CLI Syft und Grype aus, und es erstellt SBOMs aus angebundenen Repositories, Container-Images und hochgeladenen Manifesten wie package.json und requirements.txt. Das ist der übliche Weg zu einer SBOM: Dateien lesen und ermitteln, was eingeflossen ist. CRACI sieht stattdessen den Datenverkehr, der in jeden Build hineinkommt. Ein paketbewusster Proxy zeichnet jedes Paket auf, das der Job von npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen geladen hat, dazu Download-Presets, und aus CI-Caches wiederhergestellte Pakete bleiben in der Aufzeichnung.

So zeichnet CRACI die versteckten Abhängigkeiten auf, die Lockfile-basierte Tools übersehen: von npm-Install-Hooks heruntergeladenen Code, Rust-Build-Skripte, die während des Builds laden, und die Basis-Image-Layer eines Container-Builds. Jede SBOM trägt einen Vollständigkeitsstatus pro Job und pro Cache (Complete, Complete with connections, Incomplete, Unavailable oder Not recorded). Hat die Aufzeichnung eine Lücke, sagt sie das.

Kontrolle während des Builds

Ein Scanner meldet nachträglich, was er findet. Weil CRACI der Runner ist, entscheidet es während des Laufs, welche Hosts ein Job erreichen darf. Egress-Richtlinien sind standardmäßig sperrend oder erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen; sie werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed). Mit einer standardmäßig sperrenden Richtlinie wird ein kompromittiertes Paket, das Ihre Secrets an einen unbekannten Host senden will, blockiert, selbst bei einem Angriff, den noch niemand gesehen hat, und CRACI benachrichtigt Sie über den Verstoß.

Provenienz und Überwachung aus einer Aufzeichnung

Laut Safeguard erzeugt, speichert und prüft es SLSA-Provenienz. Die Provenienz von CRACI stammt von dem Runner, auf dem der Job lief: Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert Provenienz nicht und beansprucht kein SLSA-Level. Es bewertet die SBOMs des Ausgelieferten laufend neu, sobald neue Schwachstellen veröffentlicht werden, und zeigt jeden früheren Build, der eine verwundbare Abhängigkeit enthielt, sodass Sie wissen, wie lange Sie exponiert waren.

Der Runner ist Teil des Produkts

Weil CRACI der Runner ist, kommen die Nachweise zusammen mit der Rechenleistung: Läufe erscheinen weiterhin in GitHub, und CRACI führt Builds etwa doppelt so schnell aus wie GitHub-gehostete Runner, dank schnellerer Hardware, kürzerer Wartezeiten und Caching. CRACI berechnet nur Build-Minuten, $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr und ohne Gebühr pro SBOM. Siehe CRACI-Preise.

Was passt

Safeguard passt besser, wenn

• Sie Fix-Pull-Requests für sich schreiben, testen und mergen lassen möchten.
• Sie Erreichbarkeitsanalyse sowie Befunde zu Secrets und Fehlkonfigurationen in derselben Plattform möchten.
• Sie auf GitLab, Jenkins oder Azure DevOps bauen.
• Sie heute eine On-Premises- oder Air-Gapped-Bereitstellung brauchen.
• Sie neben Ihren SBOMs eine Registry gehärteter Komponenten oder eine Risikobewertung von Lieferanten möchten.

CRACI passt besser, wenn

• Sie auf GitHub Actions bauen und Runner, Egress-Richtlinie und Abhängigkeitsaufzeichnung an einem Ort haben möchten.
• Sie eine SBOM dessen brauchen, was jeder Build tatsächlich geladen hat, mit einem Vollständigkeitsstatus, den Sie einem Auditor zeigen können.
• Sie die Überwachung des Ausgelieferten und den Build-Verlauf aus derselben Aufzeichnung möchten.

Safeguard durch CRACI ersetzen

Für die Software, die Sie auf GitHub Actions bauen, übernimmt CRACI SBOM und Überwachung: Es zeichnet die SBOM im Build mit angegebener Vollständigkeit auf, bewertet überwachte SBOMs laufend neu, führt Befunde über Builds und Repositories hinweg zusammen und lässt Sicherheitsteams sie sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. Policy-Gates können einen Build aufgrund von Befunden blockieren, auch wegen einer bestimmten CVE.

Machen Sie sich klar, worauf Sie verzichten. CRACI öffnet keine Fix-Pull-Requests, hat keine Erreichbarkeitsanalyse, scannt nicht nach Secrets oder Fehlkonfigurationen, bietet keine Registry gehärteter Komponenten, hat keine signierte Provenienz und kein SLSA-Level, erkennt neue bösartige Pakete nicht anhand ihres Verhaltens (es kennzeichnet bekannte bösartige Releases, sobald ein Advisory mit einer CVE veröffentlicht ist) und hat heute keine On-Premises- oder Air-Gapped-Option. Es unterstützt nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Wenn automatisierte Behebung oder diese Bereitstellungsoptionen wichtiger sind als eine Aufzeichnung, woraus jedes Release gebaut wurde, passt Safeguard besser.

Was Sie vor dem Kauf eines SBOM-Tools prüfen sollten

Diese Fragen gelten für jeden Anbieter in dieser Kategorie, CRACI eingeschlossen.

• Wie wird die SBOM erzeugt? Fragen Sie, welches Tool sie erzeugt und woraus: aus Lockfiles und Manifesten, einem Scan des fertigen Images oder einer Aufzeichnung des Builds. Führen Sie es dann auf einem Ihrer eigenen Builds aus und vergleichen Sie die Komponentenlisten, einschließlich transitiver Abhängigkeiten.
• Prüfen Sie Zertifizierungen beim Aussteller. Ein Zertifikat oder eine Autorisierung lässt sich bei der ausstellenden Stelle bestätigen, und „für ein Framework ausgelegt“ oder „daran ausgerichtet“ zu sein ist nicht dasselbe, wie die Zertifizierung zu besitzen. Die Sicherheitsseite von Safeguard beschreibt die Architektur als für FedRAMP High und IL5 ausgelegt und das SOC-2-Type-II-Audit als laufend; passend zu dieser Formulierung war Safeguard bei unserer Prüfung am 29. September 2026 nicht im FedRAMP Marketplace gelistet. CRACI ist nach ISO/IEC 27001 durch Into Certification zertifiziert, Details stehen im Trust Center.
• Fragen Sie nach Referenzen. Safeguard beschreibt seine Kunden auf der Website anonym, unter NDA. Welchen Anbieter Sie auch in Betracht ziehen, CRACI eingeschlossen: Bitten Sie um ein Referenzgespräch mit einem Team wie Ihrem.
• Lassen Sie sich den Preis schriftlich bestätigen. Veröffentlichte Preise ändern sich. Die Preisseite von Safeguard merkt an, dass es sich um Vorschlagszahlen handelt, deren endgültige Freigabe noch aussteht.

SBOM-Anforderungen

Mehrere Frameworks verlangen eine SBOM und einen Umgang mit den darin enthaltenen Schwachstellen: Die US Executive Order 14028 prägt die Leitlinien für die Bundesbeschaffung rund um SBOMs, FDA Section 524B verlangt eine für Cyber Devices, und der Cyber Resilience Act der EU verlangt von Herstellern, ihre Komponenten zu dokumentieren. CRACI automatisiert einen erheblichen Teil der Lieferketten-Transparenz und der Nachweise, die diese Prozesse brauchen: Build-Time-SBOMs, exportiert als CycloneDX oder SPDX, Schwachstellenverfolgung und Provenienz über die API. Siehe CRA-Nachweise. Keines der Tools macht ein Produkt allein konform.

Weitere Tools in diesem Bereich finden Sie unter CRACI vs. Anchore, CRACI vs. Syft und Grype und SBOM-Tools im Vergleich.

Safeguard: Fragen und Antworten

Was ist Safeguard?

Safeguard (laut Website Safeguard.sh Inc, Dublin, Kalifornien) verkauft eine Plattform für Software-Lieferkettensicherheit. Die Website beschreibt SBOM-Generierung in CycloneDX und SPDX, SLSA-Provenienz, Erreichbarkeitsanalyse, von den Griffin-Modellen erstellte KI-Fix-Pull-Requests, Drittanbieter-Risikomanagement, eine Registry gehärteter Komponenten und die Bereitstellung in der Cloud, On-Premises oder Air-Gapped.

Wie erzeugt Safeguard SBOMs?

Laut Dokumentation erstellt Safeguard SBOMs aus angebundenen Repositories, Container-Images und hochgeladenen Paketmanifesten, und seine CLI (safeguard scan) führt Syft und Grype in Ihrer Pipeline aus. Der eigene Vergleich mit Anchore führt seine SBOM als CycloneDX und SPDX „via Syft“ auf. CRACI scannt nicht: Es führt den Build aus und zeichnet die Pakete auf, die jeder Job geladen hat.

Stellt Safeguard CI-Runner bereit?

Nein. Die CI-Dokumentation von Safeguard zeigt, wie seine CLI in Pipelines von GitHub Actions, GitLab CI/CD, Jenkins und Azure DevOps läuft, die Sie betreiben, und merkt an, dass die CLI Befunde meldet, ohne den Build fehlschlagen zu lassen; die Durchsetzung erfolgt in den Policy-Gates der Plattform. CRACI ist der Runner: GitHub-Actions-Jobs laufen auf CRACI, das aufzeichnet, was jeder Job geladen hat, und kontrolliert, was er erreichen kann.

Was kostet Safeguard?

Stand September 2026 nennt die Preisseite von Safeguard einen kostenlosen Plan mit 5 Fix-Pull-Requests, 100 gescannten Komponenten und 100 MCP-Tool-Aufrufen pro Monat; Einzelpläne zu $9, $25, $49 und $99 pro Monat; Team-Pläne zu $19, $49 und $99 pro Nutzer und Monat, mit mindestens zwei Nutzern; sowie Business, Enterprise und Sovereign auf Anfrage. Compliance-Pakete kosten $2,099 pro Framework und Jahr. Die Seite merkt an, dass es sich um Vorschlagszahlen handelt, deren endgültige Freigabe noch aussteht. Bestätigen Sie aktuelle Preise also bei Safeguard. CRACI berechnet nur Build-Minuten: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet.

Kann CRACI Safeguard ersetzen?

Für SBOMs, Provenienz und Schwachstellenüberwachung von Software, die Sie auf GitHub Actions bauen, ja: CRACI erzeugt die SBOM aus dem Build selbst und überwacht sie weiter. CRACI ersetzt nicht die KI-Fix-Pull-Requests, die Erreichbarkeitsanalyse, die Erkennung von Secrets und Fehlkonfigurationen, die Registry gehärteter Komponenten oder die Air-Gapped-Bereitstellung von Safeguard, und es unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap.