CRACI vs. Xygeni

Die kurze Antwort

Xygeni ist eine Plattform für Anwendungssicherheit aus Valladolid, Spanien. Sie beschreibt sich selbst als „one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end“. Ihre Module decken SAST, SCA mit Erreichbarkeit und Malware-Erkennung, Secrets, IaC, Container, CI/CD-Sicherheit, Build-Sicherheit mit SLSA- und in-toto-Attestierungen, Anomalieerkennung, DAST, API-Sicherheit und eine ASPM-Schicht ab. Sie veröffentlicht ihre Preise und hat einen kostenlosen Plan. Builds führt sie nicht aus: Sie klinkt sich in die CI-Systeme ein, die Sie bereits nutzen.

CRACI konkurriert von einer anderen Position aus um dasselbe Budget für Lieferkettensicherheit. Es ist der Runner für GitHub Actions: Es zeichnet die Pakete auf, die jeder Job tatsächlich geladen hat, setzt während des Jobs eine Egress-Richtlinie durch und überwacht das Ausgelieferte weiter. Xygeni ist bei AppSec weitaus breiter aufgestellt; CRACI geht beim Build und dem, was daraus hervorging, tiefer.

Auf einen Blick

„Keine Angabe“ bedeutet, dass wir es auf den öffentlichen Seiten von Xygeni nicht bestätigen konnten.

Was Xygeni gut kann

• Breite in einer Plattform. SAST mit KI-Autofix, SCA mit Erreichbarkeit und automatischen Upgrade-Pull-Requests, Secrets-Erkennung mit automatischem Widerruf, Scanning von IaC und Container-Images sowie bei Enterprise DAST, API-Sicherheit und ASPM mit Aufnahme von Daten Dritter.
• Malware in Open Source. Laut Xygeni analysiert es täglich Tausende neuer und aktualisierter Open-Source-Pakete, erkennt mit einer ML-gestützten Engine unbekannte Malware, stellt verdächtige Pakete unter Quarantäne und kann sie mit einer Dependency Firewall blockieren. Das geht über den Abgleich von CVEs hinaus.
• CI/CD-Sicherheit. Es sucht nach Fehlkonfigurationen in Build-Skripten und Pipelines, adressiert die OWASP Top 10 CI/CD Risks, prüft Einstellungen wie Branch Protection und Multi-Faktor-Authentifizierung und kennzeichnet schädliche Befehle in Pipelines, etwa Reverse Shells und Malware-Downloads.
• Build-Attestierungen. Build Security ergänzt eine Pipeline um eine Zeile, um Nachweise aus jeder Build-Phase zu sammeln und SLSA-Provenienz und in-toto-Attestierungen zu erzeugen, signiert mit Keyless Signatures. Attestierungen können Schwachstellen-Scans, SBOMs in SPDX oder CycloneDX und Testergebnisse enthalten, und manipulierte Artefakte lassen sich vor der Auslieferung blockieren.
• Anomalieerkennung. Sensoren für GitHub, GitLab, Jenkins und Azure achten auf nicht autorisierte Änderungen an Code, Abhängigkeiten, Pipelines und Build-Konfiguration und warnen in Echtzeit.
• Breite CI-Abdeckung und veröffentlichte Preise. Xygeni führt Integrationen mit GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI und Travis CI auf und bietet bei Enterprise eine On-Premises-Bereitstellung.

Worin sich CRACI unterscheidet

Aus dem Build aufgezeichnet, nicht aus Deskriptoren gelesen

Laut der Dokumentation von Xygeni verarbeiten seine Analyzer Abhängigkeitsdeskriptoren, um direkte und indirekte Abhängigkeiten zu extrahieren und ihre Versionen aufzulösen. Das ist der übliche Weg, eine SBOM aus einem Repository zu erstellen. CRACI sieht stattdessen den Datenverkehr, der in jeden Build hineinkommt: Ein paketbewusster Proxy zeichnet jedes Paket auf, das der Job von npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen geladen hat, dazu Download-Presets. Aus CI-Caches wiederhergestellte Pakete bleiben in der Aufzeichnung.

So zeichnet CRACI die versteckten Abhängigkeiten auf, die Lockfile-basierte Tools übersehen: von npm-Install-Hooks heruntergeladenen Code, Rust-Build-Skripte, die während des Builds laden, und die Basis-Image-Layer eines Container-Builds. Jede SBOM trägt einen Vollständigkeitsstatus pro Job und pro Cache (Complete, Complete with connections, Incomplete, Unavailable oder Not recorded). Hat die Aufzeichnung eine Lücke, sagt sie das.

Kontrolle während des Builds

Die CI/CD-Prüfungen von Xygeni betrachten, wie Pipelines konfiguriert sind und welche Befehle sie enthalten. CRACI begrenzt, was der Build erreichen kann. Egress-Richtlinien sind standardmäßig sperrend oder erlaubend, mit 24 integrierten Presets für Softwarequellen, typisierten eigenen Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git sowie expliziten TLS-, TCP-, UDP- und ICMP-Regeln. Sie werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed). Weil eine standardmäßig sperrende Richtlinie nur erlaubt, was der Build braucht, wird ein kompromittiertes Paket, das Ihre Secrets an einen unbekannten Host senden will, blockiert, selbst bei einem Angriff, den noch niemand gesehen hat, und CRACI meldet Ihnen den Verstoß.

Provenienz und Überwachung aus einer Aufzeichnung

Xygeni signiert Attestierungen aus einem Schritt, der Ihrer Pipeline hinzugefügt wird. Die Aufzeichnung von CRACI stammt von dem Runner, auf dem der Job lief: Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert Provenienz nicht und beansprucht kein SLSA-Level. CRACI bewertet die SBOMs des Ausgelieferten laufend neu, sobald neue Schwachstellen veröffentlicht werden, und zeigt jeden früheren Build, der eine verwundbare Abhängigkeit enthielt, sodass Sie wissen, wie lange Sie exponiert waren.

Der Runner ist Teil des Produkts

Weil CRACI der Runner ist, kommen die Nachweise zusammen mit der Rechenleistung: Läufe erscheinen weiterhin in GitHub, und CRACI führt Builds etwa doppelt so schnell aus wie GitHub-gehostete Runner, dank schnellerer Hardware, kürzerer Wartezeiten und Caching. CRACI berechnet nur Build-Minuten, $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr und ohne Gebühr pro SBOM. Siehe CRACI-Preise.

Was passt

Xygeni passt besser, wenn

• Sie eine AppSec-Plattform für SAST, SCA, Secrets, IaC, Container und Pipeline-Konfiguration möchten.
• Sie bösartige Open-Source-Pakete erkennen und blockieren möchten, bevor ein Advisory existiert.
• Sie auf GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI oder Travis CI bauen.
• Sie SLSA- und in-toto-Attestierungen oder eine On-Premises-Bereitstellung brauchen.
• Ein kleines Team mit einem kostenlosen Plan und veröffentlichten Preisen starten möchte.

CRACI passt besser, wenn

• Sie auf GitHub Actions bauen und Runner, Egress-Richtlinie und Abhängigkeitsaufzeichnung an einem Ort haben möchten.
• Sie eine SBOM dessen brauchen, was jeder Build tatsächlich geladen hat, mit einem Vollständigkeitsstatus, den Sie einem Auditor zeigen können.
• Sie die Überwachung des Ausgelieferten und die Build-Historie aus derselben Aufzeichnung möchten.

Worauf Sie verzichten, wenn Sie Build-Nachweise zu CRACI verlagern

Für die Software, die Sie auf GitHub Actions bauen, übernimmt CRACI die Aufgabe des SBOM-Exports von Xygeni: Aufzeichnung, Provenienzdaten und Überwachung kommen vom Runner. Klar gesagt, was das kostet: CRACI hat keine Erreichbarkeitsanalyse, erkennt neue bösartige Pakete nicht anhand von Verhalten oder Reputation (es kennzeichnet bekannte bösartige Releases, sobald ein Advisory mit einer CVE veröffentlicht ist), öffnet keine Upgrade-Pull-Requests, signiert keine Provenienz, beansprucht kein SLSA-Level, hat keine Anomalieerkennung über die Quellcodeverwaltung hinweg und führt heute nur GitHub Actions aus; GitLab CI und Jenkins sind auf der Roadmap.

Die SAST-, Secrets-, IaC- und CI/CD-Posture-Prüfungen von Xygeni decken Bereiche ab, die CRACI bewusst nicht berührt, sie können also bleiben, wo sie sind. CRACI ersetzt den Runner, nicht GitHub Actions, ein Scan-Schritt läuft also wie jeder andere Schritt auf einem CRACI-Runner.

Für den Cyber Resilience Act

Der Cyber Resilience Act ist eines von mehreren Regelwerken, die eine SBOM und einen Prozess zur Schwachstellenbehandlung verlangen. Xygeni führt im Business-Plan Compliance-Prüfungen der Software-Lieferkette anhand von CIS und OpenSSF auf. CRACI automatisiert einen erheblichen Teil der Lieferketten-Transparenz und der Nachweise, die ein CRA-Prozess braucht: Build-Time-SBOMs, exportiert als CycloneDX oder SPDX, Schwachstellenverfolgung und Provenienz über die API. Siehe CRA-Nachweise. Keines der Tools macht ein Produkt allein konform.

Weitere Plattformen in diesem Bereich finden Sie unter CRACI vs. Cycode, CRACI vs. OX Security, CRACI vs. Wiz und Tools für Software-Lieferkettensicherheit.

Xygeni: Fragen und Antworten

Was ist Xygeni?

Xygeni ist eine Plattform für Anwendungssicherheit aus Valladolid, Spanien. Sie kombiniert eigene Scanner (SAST, SCA mit Erreichbarkeit und Malware-Erkennung, Secrets, IaC, Container, CI/CD-Sicherheit und optional DAST und API-Sicherheit) mit einer ASPM-Schicht, dazu Build-Sicherheit mit SLSA- und in-toto-Attestierungen und Anomalieerkennung über Quellcodeverwaltung und CI-Systeme hinweg.

Was kostet Xygeni?

Stand September 2026 zeigt die Preisseite von Xygeni einen kostenlosen Plan mit SAST, SCA, Secrets und einem IDE-Plugin für bis zu 10 Repositories, 200 Scans pro Monat und 5 Contributors. Team beginnt bei etwa $3,828 (€3,300) pro Jahr und Business bei etwa $6,844 (€5,900) pro Jahr, jeweils mit 10 Contributors, und Enterprise gibt es auf Anfrage. Ein Contributor ist jeder, der in den letzten 90 Tagen in ein gescanntes Repository committet hat. Build Security und Anomalies Detection sind Enterprise-Optionen.

Stellt Xygeni CI-Runner bereit?

Nein. Xygeni integriert sich in die CI-Systeme, die Sie betreiben, etwa GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI und Travis CI, und ergänzt Ihre Pipelines um seine Scanner und einen Attestierungsschritt. CRACI ist der Runner: GitHub-Actions-Jobs laufen auf CRACI, das aufzeichnet, was jeder Job geladen hat, und kontrolliert, was er erreichen kann.

Was ist der Unterschied zwischen Xygeni und CRACI?

Xygeni ist eine breite AppSec-Plattform, die Code, Abhängigkeiten, Secrets, IaC und Pipeline-Konfiguration über viele CI-Systeme hinweg scannt. CRACI ist ein GitHub-Actions-Runner, der die Pakete aufzeichnet, die jeder Build tatsächlich geladen hat, während des Laufs eine Egress-Richtlinie durchsetzt und das Ausgelieferte weiter überwacht. Xygeni ist weitaus breiter; CRACI zeichnet den Build selbst auf.

Kann CRACI Xygeni ersetzen?

Für die Build-Nachweise von Software, die Sie auf GitHub Actions bauen, ja: Die aufgezeichnete SBOM, die Provenienz und die Schwachstellenüberwachung von CRACI decken das ab. CRACI ersetzt nicht SAST, Secrets, IaC, CI/CD-Posture-Prüfungen, Malware-Erkennung oder Erreichbarkeitsanalyse von Xygeni, und es führt heute nur GitHub Actions aus; GitLab CI und Jenkins sind auf der Roadmap.