CRACI frente a Anchore

La respuesta corta

Anchore Enterprise es una plataforma de SBOM para la seguridad y el cumplimiento continuos. Se basa en las herramientas de código abierto Syft y Grype de Anchore, escanea imágenes de contenedor, sistemas de archivos y SBOM importadas, y aplica paquetes de políticas para estándares como FedRAMP y NIST. CRACI es un runner de GitHub Actions que registra las dependencias que cada job descargó realmente y genera la SBOM a partir de ese registro, con un estado de completitud.

La diferencia está en el origen de la lista de componentes: un escaneo de lo que está presente o un registro de lo que hizo el build. CRACI también monitoriza ese registro en busca de nuevas vulnerabilidades, de modo que el CI, la SBOM y el seguimiento de vulnerabilidades proceden de un solo producto en lugar de un runner más una plataforma de escaneo.

De un vistazo

Lo que Anchore hace bien

Empecemos por las herramientas de código abierto, porque son independientes del producto comercial. Syft es una CLI y una biblioteca de Go que genera SBOM a partir de imágenes de contenedor y sistemas de archivos, bajo la licencia Apache 2.0. Grype es un escáner de vulnerabilidades de código abierto para imágenes y sistemas de archivos. Muchos equipos ya usan una o ambas de forma gratuita.

Anchore Enterprise «se basa en Syft y Grype de código abierto» y añade lo que las grandes organizaciones necesitan a su alrededor:

• Amplia cobertura. SBOM de contenedores, código fuente y sistemas de archivos, además de SBOM creadas fuera de la plataforma. Las SBOM cargadas se validan contra el esquema antes del análisis. La versión 6 añadió máquinas virtuales y sistemas de archivos remotos.
• Escaneo continuo. Las SBOM almacenadas se vuelven a escanear en busca de vulnerabilidades sin el artefacto original, y la plataforma también busca secretos y malware.
• Políticas como código. Controles de política con paquetes predefinidos, entre ellos FedRAMP, NIST, CIS, PCI DSS y CMMC.
• Su propia infraestructura. Helm en EKS, AKS, GKE u OpenShift, Docker Compose, imágenes de nube e instalaciones aisladas (air-gapped).
• Muchos sistemas de CI. Integraciones documentadas con GitHub, GitLab, Jenkins, AWS CodeBuild y Azure Pipelines.

Si gestiona flotas de contenedores en varios sistemas de CI, o trabaja en un entorno gubernamental o aislado, son puntos fuertes reales, y CRACI no los iguala hoy.

En qué se diferencia CRACI

Un registro del build, no un escaneo del resultado

En la integración de Anchore con GitHub Actions, anchorectl genera la SBOM en su runner, o los analizadores de Anchore la generan en el servidor. En ambos casos, la SBOM describe lo que un escáner encuentra en una imagen o un directorio. Escanear la imagen terminada es una buena práctica. Ve lo que acabó en el artefacto. No puede ver lo que el job descargó por el camino y dejó atrás, como plugins de build, herramientas de pruebas y paquetes restaurados desde una caché.

CRACI ejecuta el job. Usted cambia runs-on a craci, y un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes durante el build: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de presets de descarga. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado permanece en el registro.

Por qué importa el método

Un escáner solo puede notificar lo que declaran los archivos que tiene delante, y lo que notifica depende de su configuración. Syft elige sus catalogers según el tipo de escaneo, de modo que la misma versión de la misma herramienta puede devolver listas muy distintas a partir del mismo checkout en función de una sola opción. Un repositorio que no incluye lockfile, como ocurre con express 5.2.1, no da a un lector de lockfiles nada que resolver. Se trata del escaneo como método, no de la calidad de Syft. CRACI no puede compararse de este modo, porque registra builds y no puede escanear un directorio.

Un estado de completitud en cada SBOM

Cada SBOM de CRACI lleva un estado de completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. El estado se transmite entre cachés. Usted sabe si cada SBOM es un registro completo o tiene una laguna.

Control y procedencia en el origen

Como CRACI ejecuta el job, puede aplicar una política de egress de red: denegación o permiso por defecto, 24 presets de fuentes de software integrados y fuentes personalizadas tipadas. Las políticas se validan antes de que empiece el job y, si fallan, bloquean (fail closed). La API devuelve SBOM, trazas de red y datos de procedencia.

Monitorización

CRACI reevalúa de forma continua las SBOM monitorizadas y agrega las vulnerabilidades de todos los builds y repositorios. Los equipos de seguridad pueden hacer el triaje de los hallazgos y enviarlos al equipo adecuado. Los controles de política bloquean un build en función de los hallazgos.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando se publica una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Sustituir Anchore por CRACI

Para los equipos que usan GitHub Actions, CRACI cubre la función que Anchore Enterprise cumple con las SBOM: genera la SBOM en el build, sigue reevaluando las SBOM monitorizadas a medida que se publican nuevas vulnerabilidades, agrega los hallazgos de todos los builds y repositorios, y permite a los equipos de seguridad hacer su triaje y enviar cada uno al equipo responsable de la corrección. No hay plataforma de escaneo que operar ni paso de carga que mantener.

Tenga claro a qué renuncia. Anchore Enterprise escanea imágenes de contenedor y sistemas de archivos, incluidos los que usted no ha compilado, y busca secretos y malware. Sus paquetes de políticas para FedRAMP, NIST y estándares similares no tienen equivalente en CRACI hoy, aunque los propios controles de política de CRACI bloquean builds y aplican la política de licencias. Anchore Enterprise también se puede autoalojar, incluso en redes aisladas (air-gapped), y se integra con GitLab, Jenkins y otros sistemas de CI. Si eso le importa más que un registro de a partir de qué se compiló cada versión, Anchore encaja mejor.

Para el Cyber Resilience Act

Anchore publica material sobre el CRA, incluida una página sobre el CRA de la UE y una guía de requisitos de SBOM. Presenta Anchore Enterprise para la gestión de SBOM, la monitorización de vulnerabilidades con fuentes como CISA KEV, el soporte de los plazos de alerta temprana de 24 horas y de notificación de 72 horas, los controles de política, las anotaciones VEX y los registros de auditoría.

Las obligaciones de notificación del CRA se aplican desde el 11 de septiembre de 2026: una alerta temprana en las 24 horas siguientes a tener conocimiento de una vulnerabilidad explotada activamente, a través de la plataforma única de notificación del CRA. Sus disposiciones principales se aplican desde el 11 de diciembre de 2027. Notificar en 24 horas depende de saber qué versiones contienen el componente afectado. La API de CRACI devuelve SBOM, trazas de red y datos de procedencia, y las SBOM se exportan en CycloneDX o SPDX, vulnerabilidades incluidas.

CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguno de los dos productos hace que un fabricante cumpla por sí solo. Consulte lo que exige el CRA y el cumplimiento del CRA con CRACI.

CRACI y Anchore: preguntas frecuentes

Syft y Grype, autoalojamiento, compatibilidad con CI y precios

¿Es CRACI una alternativa a Anchore?

Sí, para los equipos que usan GitHub Actions. CRACI genera la SBOM en el build, sigue reevaluando las SBOM monitorizadas a medida que se publican nuevas vulnerabilidades y permite a los equipos de seguridad hacer el triaje de los hallazgos y enviarlos al equipo responsable de la corrección, sin ninguna plataforma de escaneo que operar. Anchore encaja mejor si necesita escanear imágenes que no ha compilado, autoalojar la solución o trabajar con varios sistemas de CI.

¿En qué se diferencia CRACI de Syft y Grype?

Syft y Grype son las herramientas gratuitas y de código abierto de Anchore: Syft genera SBOM a partir de imágenes de contenedor y sistemas de archivos, y Grype las escanea en busca de vulnerabilidades. Ambas leen lo que está presente en los archivos que tienen delante. CRACI ejecuta el build y registra los paquetes que el job descargó realmente, incluidos los restaurados desde cachés de CI, así que, para el software que usted compila, sustituye a ambas.

¿Qué hace Anchore Enterprise que CRACI no hace?

Anchore Enterprise escanea imágenes de contenedor y sistemas de archivos, incluidos los que usted no ha compilado, y busca secretos y malware. Incluye paquetes de políticas para FedRAMP, NIST, CIS, PCI DSS y CMMC, que hoy no tienen equivalente en CRACI, aunque los propios controles de política de CRACI pueden bloquear un build en función de los hallazgos. Anchore Enterprise también se puede autoalojar, incluso en redes aisladas (air-gapped).

¿Puede CRACI ejecutarse autoalojado o en redes aisladas?

Hoy no. CRACI ofrece runners gestionados en infraestructura europea, con runners alojados por el cliente en la hoja de ruta para Enterprise. Anchore Enterprise se instala con Helm en Kubernetes, con Docker Compose o en redes aisladas (air-gapped).

¿Con qué sistemas de CI son compatibles Anchore y CRACI?

Anchore documenta integraciones con GitHub, GitLab, Jenkins, AWS CodeBuild y Azure Pipelines. CRACI es hoy un runner para GitHub Actions; otros sistemas de CI, entre ellos GitLab CI y Jenkins, están en la hoja de ruta.

¿Cómo se comparan los precios?

A septiembre de 2026, el precio de Anchore Enterprise se ofrece bajo solicitud. CRACI solo cobra por los minutos de build: $0.002 por vCPU-minuto ($0.004 para un runner predeterminado de 2 vCPU), medido por segundo, sin cuota mensual ni cargo por SBOM. Consulte los precios para conocer las condiciones vigentes.

¿Son compatibles Anchore y CRACI con VEX y el Cyber Resilience Act?

Anchore presenta Anchore Enterprise para el CRA con gestión de SBOM, monitorización de vulnerabilidades, controles de política, anotaciones VEX y registros de auditoría. CRACI también es compatible con VEX. Registra a partir de qué se compiló cada versión, mantiene el seguimiento de sus vulnerabilidades y presenta en su nombre las notificaciones de vulnerabilidades del CRA, con lo que automatiza una parte importante de la evidencia que necesita su proceso de CRA. Reserve una demo para comparar una SBOM registrada con la que genera su escaneo actual.