CRACI frente a Apiiro

La respuesta corta

Apiiro es una plataforma de gestión de la postura de seguridad de las aplicaciones (ASPM). Su Deep Code Analysis mapea la arquitectura de su software desde el código hasta el runtime, y su Risk Graph correlaciona los hallazgos de los propios escáneres de Apiiro y de herramientas de terceros. Su módulo de seguridad de la cadena de suministro de software (SSCS) inventaría repositorios y pipelines y señala riesgos como una protección de ramas débil, errores de configuración de los pipelines y commits anómalos.

CRACI compite por el mismo presupuesto de «proteger nuestra cadena de suministro de software» desde otra posición: ejecuta sus jobs de GitHub Actions. Apiiro razona sobre lo que su código y la configuración de su pipeline dicen que ocurrirá. CRACI registra lo que hizo el build, controla su egress de red y sigue vigilando lo que usted publicó. Un gran programa de AppSec puede usar ambos. Un equipo cuya primera necesidad es tener evidencia de lo que se incluyó en cada versión puede empezar por CRACI.

De un vistazo

Lo que Apiiro hace bien

• Contexto de arquitectura sin cambios en el CI. Apiiro se conecta a su gestor de código fuente mediante una integración por API y afirma que no requiere configuración ni mantenimiento de CI/CD. Después, Deep Code Analysis mapea API, datos sensibles, frameworks de IA generativa y la propiedad del código, y se actualiza con cada commit y cada cambio relevante.
• Seguridad para la programación con IA. Guardian Agent, lanzado en enero de 2026, trabaja con los asistentes de programación con IA y añade a los prompts de los desarrolladores directrices de seguridad extraídas de sus modelos de amenazas, sus políticas de cumplimiento y su arquitectura, de modo que el asistente se aleja del código vulnerable antes de escribirlo. AI Threat Modeling llegó en marzo de 2026.
• Amplitud. Apiiro incluye AI SAST nativo, AI SCA, SSCS, secretos, infraestructura como código, seguridad de API en el código, DSPM para código y modelado de amenazas con IA. CRACI no realiza ninguno de los escaneos de código de esa lista.
• Priorización. El Risk Graph incorpora, deduplica y correlaciona los hallazgos, y después los encadena en «combinaciones tóxicas». El ejemplo de Apiiro: un repositorio que contiene datos personales, compilado por un pipeline vulnerable, que recibe commits en una rama sin revisores obligatorios. Tres hallazgos de gravedad media se convierten en un riesgo crítico.
• Inventario de la fábrica de software. SSCS inventaría repositorios y pipelines de CI/CD, incluidos los pipelines en la sombra, con colaboradores, permisos, plugins y dependencias. Hace el seguimiento de las vulnerabilidades de las dependencias de los pipelines a lo largo de su ciclo de vida, y sus guardarraíles pueden bloquear commits y merges de riesgo.
• Análisis de dependencias y correcciones. AI SCA comprueba si una función vulnerable se llama realmente, relaciona las dependencias con los contenedores desplegados y los endpoints públicos, detecta paquetes maliciosos y aplica la política de licencias. AutoFix ofrece actualizaciones de versión que, según Apiiro, están validadas previamente en cuanto a compatibilidad de API.
• Integraciones. GitHub, GitLab, Azure DevOps, Bitbucket y Perforce en el control de código fuente, Jenkins y GitHub Actions para la postura de los pipelines, y una larga lista de escáneres, registros y herramientas de tickets.

En qué se diferencia CRACI

El build es la fuente de verdad

La XBOM de Apiiro se elabora analizando el código: cada paquete, API, modelo de IA y licencia, actualizada con cada cambio de código. Es una visión sólida de lo que su código declara y utiliza. Un build suele hacer más de lo que dice el código. Ejecuta scripts de instalación, descarga toolchains, restaura cachés, descarga imágenes base y obtiene binarios de versiones publicadas.

CRACI ve esa actividad porque es el runner. Un proxy que entiende de paquetes observa el tráfico hacia las fuentes de paquetes mientras se ejecuta el job, en fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de presets de descarga. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue contabilizado. Cada SBOM lleva un estado de completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Usted sabe cuándo el registro tiene una laguna.

Control en el runner, no solo postura

Apiiro le avisa cuando un pipeline está mal configurado o expuesto a manipulaciones. CRACI limita a qué puede acceder un build mientras se ejecuta. Las políticas de egress son de denegación por defecto o de permiso por defecto, con 24 presets de fuentes de software integrados, fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git, y reglas explícitas de TLS, TCP, UDP e ICMP. Se validan antes de que empiece el job y, si fallan, bloquean (fail closed), y CRACI puede avisarle de cada infracción.

Evidencia del build a través de la API

La API devuelve SBOM, trazas de red y datos de procedencia.

Después de publicar

CRACI sigue reevaluando las SBOM de lo que usted publicó a medida que se publican nuevas vulnerabilidades, y agrega los hallazgos de todos los builds y repositorios.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando se publica una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Dónde va por delante Apiiro

Dicho claramente: CRACI no tiene escaneo de SAST, secretos, IaC ni seguridad de API, no incorpora los hallazgos de otros escáneres, no audita la protección de ramas ni los permisos de los repositorios, y hoy solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. CRACI sí bloquea builds mediante controles de política y aplica la política de licencias. Si necesita una plataforma que priorice el riesgo en todo su código, Apiiro cubre mucho más terreno.

Cuál encaja mejor

Apiiro encaja mejor si

• Quiere una única plataforma de ASPM para muchos escáneres, repositorios y sistemas de SCM.
• Su prioridad es el contexto de arquitectura: qué código está expuesto a internet, maneja datos personales o ha cambiado de forma relevante.
• Necesita la postura de repositorios y pipelines en GitLab, Azure DevOps, Bitbucket o Jenkins.

CRACI encaja mejor si

• Compila en GitHub Actions y quiere el runner, la política de egress y el registro de dependencias en un solo lugar.
• Necesita una SBOM de lo que descargó cada build, con un estado de completitud que pueda mostrar a un auditor.
• Quiere monitorizar lo que publicó y disponer de evidencia para el CRA.

Usar ambos

Apiiro se presenta ahora como una solución para proteger el desarrollo agéntico. Su Guardian Agent orienta a los asistentes de programación con IA hacia código seguro antes de que se escriba, y su XBOM procede del análisis del código de sus repositorios. CRACI es CI/CD con la seguridad integrada en el runner, así que su SBOM registra lo que cada build descargó realmente, incluido lo que el análisis de código no puede ver: scripts de instalación, toolchains, paquetes en caché e imágenes base. Apiiro trabaja donde se escribe el código; CRACI, donde se compila y se publica. CRACI sustituye el runner, no GitHub Actions, así que cualquier integración de Apiiro con el pipeline sigue funcionando.

Para el Cyber Resilience Act

El Cyber Resilience Act exige a los fabricantes conocer los componentes de cada producto, gestionar sus vulnerabilidades y conservar evidencia. Una plataforma de ASPM ayuda con el desarrollo seguro y con la gestión de las vulnerabilidades de su código. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA: SBOM generadas durante el build, seguimiento de vulnerabilidades, procedencia y exportación de SBOM en CycloneDX o SPDX. Ninguna de las dos herramientas le hace cumplir por sí sola. Consulte cumplimiento del CRA.

Incorporar CRACI

Instale la GitHub App de CRACI en su organización y cambie la etiqueta del runner de un job a runs-on: craci. Las ejecuciones siguen apareciendo en la interfaz de GitHub. Empiece con un workflow que genere un artefacto de versión y compare la SBOM de CRACI con su inventario actual. Lea más sobre la integración con CI/CD, la generación de SBOM durante el build y los precios.