Alternativas a Kusari

Nosotros desarrollamos CRACI, así que téngalo en cuenta; describimos cada opción a partir de su propia documentación e indicamos cuándo encaja mejor otra herramienta.

Por qué los equipos buscan más allá de Kusari

Kusari afirma que le ayuda a saber qué hay realmente en su software. Su plataforma construye un grafo actualizado de forma continua a partir de su código fuente, SBOM, documentos VEX y salida de escáneres, incluidos los resultados de Snyk, Black Duck, Dependabot y GitHub Advanced Security. Clasifica lo que es explotable mediante alcanzabilidad, muestra el radio de impacto de una nueva vulnerabilidad y genera y valida pull requests de AutoFix. Kusari Inspector revisa pull requests en GitHub y GitLab en busca de vulnerabilidades transitivas, secretos, paquetes con typosquatting, licencias y dependencias al final de su vida útil. Sus fundadores cocrearon GUAC, el proyecto de la OpenSSF del que surgió el grafo.

Aun así, los equipos comparan alternativas, normalmente por uno de estos motivos:

• De dónde sale la SBOM. Un grafo refleja las SBOM que recibe. La documentación de Kusari describe generarlas con waybill, su toolkit de SBOM de código abierto, o aportar su propia herramienta, y un generador lee lockfiles, manifiestos, cachés e imágenes en lugar de observar el build.
• Corregir las entradas. Algunos equipos prefieren partir de imágenes reforzadas o paquetes corregidos antes que clasificar hallazgos en los que ya tienen.
• Detener los paquetes dañinos en la entrada. Otros quieren que los paquetes maliciosos se bloqueen durante la instalación o en el repositorio, no solo que se señalen en una pull request.
• Precios y alojamiento. Kusari publica los precios de Inspector, pero no los de la plataforma, y algunos equipos quieren un grafo gratuito y autoalojado.

Qué tener en cuenta

• Cómo se producen las SBOM, y si la herramienta le avisa cuando una está incompleta.
• Si quiere analizar lo que tiene, reforzar las entradas o registrar y controlar el build.
• Recepción de SBOM y VEX de proveedores y otras herramientas.
• Alcanzabilidad y detección de paquetes maliciosos, si el volumen de alertas o los ataques a paquetes son el principal problema.
• Procedencia firmada, y si describe sus artefactos o los del proveedor.
• Cobertura de CI, opciones de alojamiento y cómo escala el precio.

Las opciones

1. CRACI (nuestro producto)

CRACI es un runner de GitHub Actions que produce la SBOM mientras se ejecuta el build. Un proxy que entiende de paquetes registra lo que descarga cada job de las fuentes de paquetes, incluidos los paquetes restaurados desde cachés de CI y las dependencias ocultas que ningún lockfile enumera, como el código descargado por hooks de instalación de npm. Cada SBOM indica su completitud por job y por caché. CRACI reevalúa de forma continua las SBOM monitorizadas, agrega los hallazgos de builds y repositorios, y permite a los equipos de seguridad hacer el triaje con VEX y enviar cada hallazgo al equipo responsable de la corrección. Puede añadir SBOM de proveedores, de modo que los componentes comprados se monitoricen junto a sus propios builds, y su vista de inventario muestra exactamente qué versiones de software están desplegadas en qué productos, a nivel global.

Como CRACI ejecuta el job, también aplica una política de egress que se valida antes de que empiece el job y que, si falla, bloquea. Un grafo le ayuda a encontrar lo afectado a posteriori; una política de egress limita desde el principio a qué puede acceder un build.

Ideal para: equipos en GitHub Actions que quieren en un solo producto el CI, la SBOM y el seguimiento de vulnerabilidades del software que compilan. Valórelo si: puede renunciar al grafo de Kusari sobre muchos escáneres, a la procedencia firmada, al análisis de alcanzabilidad, a las pull requests de AutoFix y a las revisiones de pull requests de Inspector en busca de paquetes maliciosos, secretos y debilidades del código; CRACI no hace nada de eso hoy. Solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. CRACI frente a Kusari

2. Chainguard

Chainguard protege las entradas. Compila software de código abierto desde el código fuente y lo distribuye reforzado: imágenes de contenedor que denomina zero-CVE, bibliotecas de Java, Python y JavaScript recompiladas desde código fuente verificado, imágenes de máquina virtual y GitHub Actions reforzadas, cada una con una SBOM firmada y procedencia SLSA. Para los clientes con un pedido, se compromete a corregir las CVE críticas en un plazo de 7 días y las de otras gravedades en 14 días desde que existe un parche que cumpla los requisitos.

Ideal para: equipos que quieren menos CVE conocidas en aquello sobre lo que construyen. Valórelo si: tiene en cuenta que esas SBOM y esa procedencia describen los artefactos de Chainguard, no su build. Cinco imágenes son gratuitas, y el catálogo parte de $19K para un equipo de 10 (a septiembre de 2026). CRACI y Chainguard

3. Lineaje

Lineaje es una plataforma de cadena de suministro de software. SCA360 escanea código fuente y código empaquetado, enumera las cadenas de dependencias y detecta vulnerabilidades alcanzables. Lineaje señala paquetes maliciosos, manipulados y de origen dudoso, corrige automáticamente, tras su aprobación, las actualizaciones compatibles de dependencias directas y ofrece paquetes y contenedores corregidos mediante Gold Open Source. SBOM360 Hub, que ahora también figura como xBOM Manager, vincula las SBOM a los SKU de producto, mantiene asociados a ellos los documentos VEX y CSAF y los comparte con los clientes.

Ideal para: analizar y sanear una gran cartera existente, incluido código que usted no escribió. Valórelo si: también necesita un registro de lo que descargó su propio build; Lineaje analiza lo que ya existe. No publica precios (a septiembre de 2026). CRACI frente a Lineaje

4. Anchore Enterprise

Anchore Enterprise se basa en Syft y Grype, de código abierto. Crea SBOM para contenedores, código fuente y sistemas de archivos, importa SBOM creadas en otros lugares, vuelve a escanear de forma continua las SBOM almacenadas y aplica paquetes de políticas como FedRAMP y NIST. Puede autoalojarse, también en entornos air-gapped.

Ideal para: entornos gubernamentales y con muchos contenedores. Valórelo si: quiere gestión de SBOM con políticas más que un grafo sobre varios escáneres. El precio se fija mediante presupuesto (a septiembre de 2026). CRACI frente a Anchore

5. Endor Labs

Endor Labs se basa en la alcanzabilidad: el análisis a nivel de función de las dependencias directas y transitivas determina qué vulnerabilidades conocidas puede invocar su código. Endor Patches retroporta correcciones de seguridad a versiones que usted ya utiliza, SBOM Hub genera e importa SBOM en CycloneDX y SPDX con VEX basado en alcanzabilidad, y un Package Firewall se sitúa entre su repositorio de artefactos y los registros públicos. También puede firmar artefactos.

Ideal para: equipos cuyo principal problema son demasiadas alertas de dependencias. Valórelo si: le encaja un precio por desarrollador; Endor Labs tiene un nivel Developer gratuito, y Core y Pro tienen precio a través de ventas (a septiembre de 2026). CRACI frente a Endor Labs

6. Socket

Socket analiza cómo se comportan los paquetes de código abierto, señala las incorporaciones de riesgo en las pull requests y bloquea paquetes maliciosos durante la instalación con Socket Firewall, que tiene una versión gratuita para npm, yarn, pnpm, pip, uv y cargo. Los planes de pago añaden análisis de alcanzabilidad, y la importación y exportación de SBOM empiezan en Business.

Ideal para: detener paquetes dañinos antes de que lleguen, incluidos los que aún no tienen aviso. Valórelo si: los ataques a paquetes son su principal preocupación. Hay un plan gratuito, Team cuesta $25 por desarrollador al mes con un mínimo de cinco, y Business $50 con un mínimo de 20 (a septiembre de 2026). CRACI frente a Socket

7. Sonatype

Sonatype SBOM Manager importa y monitoriza SBOM con un flujo de trabajo VEX. A su alrededor, Sonatype Lifecycle añade SCA con Advanced Binary Fingerprinting, y Repository Firewall detiene los componentes que incumplen sus políticas antes de que entren en sus repositorios.

Ideal para: organizaciones que quieren gestión de SBOM junto a políticas en el repositorio de paquetes. Valórelo si: utiliza Nexus u otro gestor de repositorios. Los nuevos clientes compran Sonatype Guide; Firewall Pro parte de $4,800 al año (a septiembre de 2026). CRACI frente a Sonatype

8. GUAC (código abierto)

GUAC (Graph for Understanding Artifact Composition) es un proyecto en incubación de la OpenSSF con licencia Apache 2.0, y el proyecto comunitario del que surgió el grafo de Kusari. Agrega metadatos de la cadena de suministro en una base de datos de grafos: SBOM en CycloneDX y SPDX, attestations in-toto y SLSA, documentos OpenVEX y CSAF, resultados de OpenSSF Scorecard y datos de OSV y deps.dev. Entre sus colaboradores están Kusari, Google, Red Hat, Purdue University y Citi.

Ideal para: equipos que quieren la idea del grafo de Kusari, autoalojada y gratuita. Valórelo si: está dispuesto a ejecutarlo y alimentarlo; GUAC agrega metadatos que producen otras herramientas, y no ejecuta builds ni añade la alcanzabilidad, AutoFix y las revisiones de pull requests de Kusari.

9. Dependency-Track (código abierto)

OWASP Dependency-Track es una plataforma gratuita con licencia Apache 2.0 que sigue los componentes de toda su cartera, obtiene datos de vulnerabilidades de fuentes como la NVD y GitHub Advisories y aplica políticas de seguridad, de licencias y operativas. Consume y produce CycloneDX VEX.

Ideal para: equipos que quieren un sistema de registro de SBOM autoalojado sin cuota de licencia. Valórelo si: está dispuesto a operarla y alimentarla; analiza las SBOM que usted sube y no las genera. CRACI para usuarios de Dependency-Track

Lado a lado

«Anchore» significa Anchore Enterprise, y «Sonatype» significa SBOM Manager con Lifecycle y Repository Firewall. GUAC se describe más arriba y no figura en la tabla. «No indicado» significa que la funcionalidad no aparece descrita en la documentación del proveedor, no que falte.

Cuándo quedarse con Kusari

• Ya tiene SBOM y varios escáneres, y quiere unirlos en un solo grafo con radio de impacto.
• Quiere que la alcanzabilidad reduzca la cola, y pull requests de AutoFix validadas antes de que le lleguen.
• Quiere que cada pull request se revise en busca de paquetes maliciosos, secretos, licencias y workflows inseguros.
• Compila en varios sistemas de CI; el uploader de Kusari cubre GitHub Actions, GitLab, Jenkins, CircleCI y otros.

Para más información sobre cómo registrar SBOM en el origen, consulte generación de SBOM durante el build, la comparativa de herramientas de seguridad de la cadena de suministro de software y precios.

Alternativas a Kusari: preguntas frecuentes

Respuestas breves a las preguntas que se plantean los equipos al comparar

¿Cuáles son las mejores alternativas a Kusari?

Depende de para qué use Kusari. Para entradas seguras, fíjese en las imágenes y bibliotecas reforzadas de Chainguard o en Gold Open Source de Lineaje. Para análisis de la cadena de suministro y gestión de SBOM, fíjese en Lineaje o Anchore Enterprise. Para SCA guiado por la alcanzabilidad, fíjese en Endor Labs. Para detener paquetes maliciosos, fíjese en Socket o Sonatype Repository Firewall. Para herramientas gratuitas y autoalojadas, fíjese en GUAC y OWASP Dependency-Track. Si quiere que la SBOM se produzca a partir de sus propios builds y se monitorice en el mismo producto, CRACI la registra mientras se ejecuta cada job de GitHub Actions.

¿Cuál es la diferencia entre Kusari y GUAC?

GUAC (Graph for Understanding Artifact Composition) es un proyecto en incubación de la OpenSSF con licencia Apache 2.0 que agrega metadatos de la cadena de suministro, como SBOM, attestations, VEX y resultados de Scorecard, en una base de datos de grafos. Los cofundadores de Kusari crearon GUAC junto con Google, y Kusari lo utiliza y lo cuida en su plataforma comercial, que añade alcanzabilidad, radio de impacto, pull requests de AutoFix y revisiones de Inspector. GUAC es el proyecto comunitario que ejecuta usted mismo; Kusari es el producto.

¿Existe una alternativa de código abierto a Kusari?

Sí. GUAC le da el grafo de la cadena de suministro en el que se basa Kusari, y OWASP Dependency-Track es una plataforma gratuita que sigue los componentes de toda su cartera, aplica políticas de seguridad y de licencias y gestiona CycloneDX VEX. Ambas analizan las SBOM y los metadatos con que usted las alimenta; ninguna genera SBOM a partir de sus builds, y usted las aloja y las opera.

¿Cuánto cuesta Kusari?

A septiembre de 2026, Kusari Inspector es gratuito para desarrolladores individuales y proyectos de código abierto, y cubre los repositorios de los que usted es propietario además de los proyectos de la OpenSSF o la CNCF. Inspector para equipos parte de $25 por desarrollador al mes. Las páginas que consultamos no publican un precio para la plataforma de Kusari.

¿Sustituye CRACI a Kusari?

Para el software que compila en GitHub Actions, sí. CRACI ejecuta el build, registra la SBOM con una completitud declarada, sigue reevaluando las SBOM monitorizadas y permite a los equipos de seguridad hacer el triaje de los hallazgos y enviarlos al equipo responsable de la corrección. Renuncia al grafo de Kusari sobre muchos escáneres y fuentes de SBOM, a la procedencia firmada, al análisis de alcanzabilidad, a las pull requests de AutoFix y a las revisiones de pull requests de Inspector en busca de paquetes maliciosos, secretos y debilidades del código. Hoy CRACI solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.