CRACI vs. Trivy

Die kurze Antwort

Trivy ist eines der nützlichsten kostenlosen Sicherheitstools überhaupt. Es scannt Container-Images, Dateisysteme, Repositories, VM-Images und Kubernetes auf Schwachstellen, Fehlkonfigurationen, Secrets und Lizenzen und gibt nebenbei SBOMs aus. CRACI ist ein GitHub-Actions-Runner, der aufzeichnet, was jeder Build geladen hat, kontrolliert, wohin sich der Build verbinden darf, und Schwachstellen im Ausgelieferten weiter verfolgt. Der Kernunterschied: Trivy leitet die Komponentenliste aus Dateien ab, CRACI beobachtet sie. Für die SBOM und die Abhängigkeits-Schwachstellen der Software, die Sie bauen, ersetzt CRACI Trivy. Für den Rest dessen, was Trivy scannt, wählen Sie aus der Liste unten pro Aufgabe ein Tool.

Warum Teams Alternativen zu Trivy suchen

• Die Lieferketten-Kompromittierung vom März 2026. Das Advisory von Aqua Security (CVE-2026-33634) beschreibt ein bösartiges Release Trivy v0.69.4 und vergiftete Tags von trivy-action und setup-trivy am 19. März 2026, gefolgt von bösartigen Images auf Docker Hub am 22. März. Der eingeschleuste Code stahl Zugangsdaten von CI-Runnern. Aqua veröffentlichte sichere Versionen und empfiehlt, Actions auf vollständige Commit-SHAs zu pinnen.
• Ein Scan ist keine Verfolgung. Trivy meldet, was es beim Lauf findet. Befunde, Zuständige und Status über Repositories und Releases hinweg festzuhalten und ausgelieferte Software bei neuen Advisories erneut zu prüfen, bleibt Ihnen überlassen.
• Die SBOM wird aus Dateien abgeleitet. Ein Pre-Build-Scan liest Lockfiles. Wo ein Repository keine committet, gibt es wenig zu lesen, und die Versionen, die eine echte Installation auflöst, werden erst beim Build festgelegt.
• Breite statt Tiefe. Eine Binärdatei deckt viele Aufgaben ab. Teams, die in einem Bereich mehr brauchen, etwa bei Infrastructure as Code oder Container-Images, verlagern diese Aufgabe oft auf ein spezialisiertes Tool.

Jeder Scanner, den Ihre Pipeline herunterlädt und ausführt, ist selbst Teil Ihrer Software-Lieferkette und läuft direkt neben den Secrets des Jobs. Auf CRACI zeichnet der Runner die SBOM auf, für die Software, die Sie bauen, muss also kein Scanner-Schritt heruntergeladen werden. Die Egress-Richtlinie des Runners kann begrenzen, welche Hosts jeder Schritt im Job erreicht, und der Netzwerk-Trace jedes Jobs wird aufgezeichnet. Actions auf Commit-SHAs zu pinnen, wie Aqua empfiehlt, gilt auch auf CRACI.

Trivy-Alternativen, nach der Aufgabe, die Trivy für Sie erledigt

• SBOMs und Abhängigkeits-Schwachstellen für Software, die Sie bauen: CRACI. Es zeichnet die SBOM aus dem Build auf, bewertet sie laufend neu und leitet Befunde an das zuständige Team weiter.
• Scannen von Container-Images und Dateisystemen: Grype, der Open-Source-Schwachstellenscanner von Anchore für Container-Images, Dateisysteme und SBOMs, mit EPSS- und KEV-Daten zur Priorisierung. Für SBOMs arbeitet er mit Syft zusammen. Siehe CRACI vs. Syft und Grype.
• Infrastructure as Code: Checkov scannt Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, Dockerfiles, Bicep und ARM-Templates und prüft außerdem Secrets und Open-Source-Pakete. KICS deckt Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi und mehr ab. Beide sind Open Source unter Apache-2.0.
• Secrets: Gitleaks erkennt Passwörter, API-Schlüssel und Tokens in Git-Repositories und Dateien, Open Source unter MIT.
• Ein kommerzieller Scanner mit Behebungshinweisen: siehe CRACI vs. Snyk und den Vergleich der SCA-Tools.

Mehr zu jeder Option und zu Grype vs. Trivy finden Sie im vollständigen Leitfaden zu Trivy-Alternativen.

Was Trivy gut kann

Trivys eigene Beschreibung lautet „a comprehensive and versatile security scanner“, und das trifft zu. Eine Binärdatei deckt mehrere Aufgaben ab, für die sonst separate Tools nötig wären:

• Viele Ziele. Container-Images, Dateisysteme, entfernte Git-Repositories, VM-Images und Kubernetes.
• Viele Scanner. OS-Pakete und Software-Abhängigkeiten, bekannte Schwachstellen, Fehlkonfigurationen in Infrastructure as Code, Secrets und Softwarelizenzen.
• SBOMs hinein und heraus. trivy fs --format cyclonedx oder --format spdx-json schreibt eine SBOM, und trivy sbom scannt eine vorhandene SBOM auf Schwachstellen.
• Läuft überall. Es ist Open Source unter Apache-2.0, funktioniert als CLI und hat eine GitHub Action und einen Kubernetes-Operator.

CRACI bietet weder IaC-, Secret- noch Cluster-Scanning. Wenn Sie einen Terraform-Plan prüfen, ein committetes Token erkennen oder ein Drittanbieter-Image scannen müssen, das Sie nicht gebaut haben, ist Trivy oder eines der Tools oben die richtige Wahl.

2:07

Worin sich CRACI unterscheidet

Trivy liest Dateien, CRACI beobachtet den Build

Die Dokumentation von Trivy ist bei der Methode eindeutig: „If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files.“ Bei einem Post-Build-Ziel wie einem Container-Image liest es stattdessen die Metadaten installierter Pakete und Binärdateien. Bei Node.js-Repositories bedeutet das package-lock.json, yarn.lock, pnpm-lock.yaml oder bun.lock.

Dieses Design ist vernünftig, und es hat eine vorhersehbare Grenze. expressjs/express 5.2.1 committet kein Lockfile, und das Repository anthropics/claude-code hat überhaupt kein Abhängigkeitsmanifest. Bei einem Pre-Build-Scan gibt es also in beiden Fällen nichts, was Trivy lesen könnte. Trivy arbeitet hier wie dokumentiert, es liegt kein Fehler vor. Die Versionen, die eine echte Installation auflösen würde, werden erst beim Build festgelegt.

CRACI setzt am anderen Ende an. Jobs laufen mit runs-on: craci, und ein paketbewusster Proxy zeichnet auf, was der Job von npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen lädt, dazu Download-Presets. Aus einem CI-Cache wiederhergestellte Pakete nehmen ihre Nachweise mit. Die SBOM (CycloneDX oder SPDX) beschreibt, was der Build tatsächlich genutzt hat, mit oder ohne Lockfile.

Es sagt, wann die Aufzeichnung unvollständig ist

Jeder CRACI-Job und jeder Cache hat einen Vollständigkeitsstatus: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Eine leere oder dünne SBOM ist als solche erkennbar, statt wie ein Projekt mit wenigen Abhängigkeiten auszusehen.

Es kontrolliert den Build

Weil CRACI den Job ausführt, kann es eine Netzwerk-Egress-Richtlinie durchsetzen: standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen, vor dem Start des Jobs validiert und im Zweifel blockierend (fail closed). Egress-Kontrolle liegt außerhalb des Umfangs von Trivy. Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert Provenienz nicht. Für die Signierung zeigt die Dokumentation von Trivy einen Ablauf mit zwei Tools: Trivy schreibt die SBOM, und Cosign signiert sie als Attestation.

Es beobachtet weiter

Trivy scannt, wenn Sie es ausführen. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen und bewertet überwachte SBOMs laufend neu, und Sicherheitsteams können Befunde sichten und an das Team weiterleiten, das für die Behebung zuständig ist. Hersteller-SBOMs werden neben Ihren eigenen Builds überwacht. Die Policy-Gates von CRACI können einen Build blockieren; Schwellenwert-Alarme sind auf der Roadmap.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Wechsel von Trivy

Auf CRACI gibt es für die Builds, die Sie ausliefern, keine SBOM zu erzeugen und keinen Abhängigkeits-Scan zu pflegen. Der Runner zeichnet die SBOM auf, während der Build läuft, und CRACI prüft sie auch nach Abschluss des Builds weiter auf neue Schwachstellen.

Seien Sie sich im Klaren darüber, was CRACI nicht tut. Es scannt weder Infrastructure as Code noch Kubernetes-Cluster oder VM-Images, es sucht nicht nach Secrets oder Fehlkonfigurationen, und es scannt keine Images oder Software, die Sie nicht gebaut haben. Schwellenwert-Alarme sind auf der Roadmap. Es unterstützt heute nur GitHub Actions, GitLab CI und Jenkins sind auf der Roadmap. Wenn Sie sich für etwas davon auf Trivy verlassen, behalten Sie es dafür.

Für den Cyber Resilience Act

Der CRA verlangt von Herstellern, die Komponenten jedes Produkts zu dokumentieren, einschließlich einer SBOM, und Schwachstellen in dem, was sie ausliefern, zu behandeln und zu melden. Trivy hilft, indem es Schwachstellen und Fehlkonfigurationen findet und SBOMs erzeugt, und die Nachweiskette vom Release zur SBOM bauen Sie selbst. CRACI zeichnet die SBOM pro Build auf, verknüpft sie mit dem Artefakt, exportiert SBOMs als CycloneDX oder SPDX und übermittelt die CRA-Schwachstellenmeldungen in Ihrem Namen. Es automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Siehe Was ist der CRA? und SBOM-Generierung während des Builds.

CRACI vs. Trivy: häufige Fragen

Kostenlose Optionen, die Kompromittierung vom März 2026 und was CRACI ersetzt

Was ist die beste Trivy-Alternative?

Das hängt davon ab, welche Trivy-Aufgabe Sie ersetzen. Für SBOMs und Abhängigkeits-Schwachstellen in Software, die Sie mit GitHub Actions bauen, zeichnet CRACI die SBOM aus dem Build auf und verfolgt sie weiter. Für das Scannen von Container-Images ist Grype eine ähnliche Open-Source-Option. Für Infrastructure as Code sind Checkov und KICS Open-Source-Optionen. Für Secrets Gitleaks. Kein einzelnes Tool ersetzt Trivy vollständig.

Gibt es eine kostenlose Alternative zu Trivy?

Ja. Grype (Images, Dateisysteme und SBOMs), Checkov und KICS (Infrastructure as Code) sind Open Source unter Apache-2.0, und Gitleaks (Secrets) ist Open Source unter MIT. CRACI ist ein kostenpflichtiges Produkt, abgerechnet pro Build-Minute ohne Monatsgebühr.

Ist Trivy nach der Kompromittierung vom März 2026 noch sicher nutzbar?

Das Advisory von Aqua Security (CVE-2026-33634) beschreibt ein bösartiges Release Trivy v0.69.4 und vergiftete Tags von trivy-action und setup-trivy am 19. März 2026 sowie bösartige Images auf Docker Hub am 22. März. Aqua nennt sichere Versionen und empfiehlt, möglicherweise offengelegte Secrets zu rotieren und GitHub Actions auf vollständige Commit-SHAs zu pinnen. Prüfen Sie im Advisory die Versionen, die Sie einsetzen.

Was ist der Unterschied zwischen Trivy und Grype?

Beide sind Open-Source-Scanner unter Apache-2.0. Grype konzentriert sich auf Schwachstellen in Container-Images, Dateisystemen und SBOMs und arbeitet für die SBOM-Erzeugung mit Syft zusammen. Trivy deckt mehr Ziele und Scanner in einer Binärdatei ab, einschließlich Infrastructure as Code, Secrets, Lizenzen, VM-Images und Kubernetes.

Kann CRACI Trivy ersetzen?

Für die SBOM und die Abhängigkeits-Schwachstellen der Software, die Sie auf GitHub Actions bauen, ja: CRACI zeichnet die SBOM auf, während der Build läuft, und bewertet sie laufend anhand von Schwachstellendaten neu. CRACI scannt weder Infrastructure as Code noch Kubernetes-Cluster, VM-Images, Secrets, Fehlkonfigurationen oder Images, die Sie nicht selbst gebaut haben. Behalten Sie dafür Trivy oder einen anderen Scanner.

Scannt CRACI Terraform oder andere Infrastructure as Code?

Nein. CRACI zeichnet auf, was Ihre Builds laden, und verfolgt Schwachstellen in dem, was Sie ausliefern. Für Terraform und andere Infrastructure as Code nutzen Sie den Fehlkonfigurations-Scanner von Trivy oder ein spezialisiertes Tool wie Checkov oder KICS.