CRACI frente a Cybellum

La respuesta corta

Cybellum es una plataforma de seguridad de producto para fabricantes de dispositivos de los mercados de automoción, médico e industrial. Analiza binarios de firmware, los combina con el código fuente y las SBOM de los proveedores, coteja el resultado con datos de vulnerabilidades y apoya el trabajo que hace un PSIRT después del lanzamiento: monitorización, triaje, investigaciones y evidencia normativa. CRACI es un runner de GitHub Actions que registra lo que incorpora cada build mientras se ejecuta, genera la SBOM a partir de ese registro y la sigue monitorizando.

La primera pregunta de cada caso de PSIRT es qué productos y versiones contienen el componente vulnerable. Cybellum la responde a partir del análisis de lo que usted distribuye, venga de donde venga. CRACI la responde a partir de un registro de lo que sus propios builds descargaron realmente. Para el software que usted compila en GitHub Actions, CRACI cubre el inventario, la monitorización y el propio triaje. Para el firmware que recibe en forma de binarios, Cybellum cubre un terreno que CRACI no cubre.

De un vistazo

Lo que Cybellum hace bien

Análisis del binario. Los Cyber Digital Twins de Cybellum «se pueden extraer de los archivos binarios de cualquier producto o componente». La plataforma analiza los binarios de firmware de cada producto para revelar «la SBOM, el historial de versiones, las licencias, la arquitectura de hardware, las configuraciones del sistema operativo y más», y solo como extra pregunta: «¿Tiene también el código fuente?» Eso importa cuando gran parte de un vehículo o de un dispositivo médico ejecuta código de proveedores cuyos builds usted nunca ve.

Una SBOM a partir de muchas fuentes. Cybellum combina «datos de escáneres de binarios, código fuente y fuentes de SBOM externas en formatos SPDX, CycloneDX o CSV de CPE», deduplica los paquetes idénticos y permite a los equipos corregir automáticamente, validar y aprobar las SBOM de cualquier producto, versión o rama antes de compartirlas como SPDX o CycloneDX.

Hallazgos más allá de las CVE conocidas. Su base de datos de vulnerabilidades combina fuentes públicas y privadas, EPSS y hallazgos de investigación, y Cybellum añade «motores integrados de detección de malware y de debilidades de código». Los equipos pueden importar modelos de amenazas, TARA y resultados de fuzzing y de pruebas de penetración, y después hacer el triaje con un asistente de IA, el VM CoPilot.

Hecha para el trabajo del PSIRT. Su módulo de respuesta a incidentes permite a un equipo «ver exactamente qué productos o componentes se ven afectados por una nueva vulnerabilidad o normativa», le ofrece «un banco de trabajo para crear y gestionar investigaciones», abre tickets y comparte el estado de las vulnerabilidades «mediante informes VEX/CSAF según sea necesario».

Evidencia normativa. Cybellum gestiona evidencia para «FDA PMA, ISO 21434, el CRA y sus propios marcos de políticas personalizados», con requisitos ya asignados de «más de 50 normas, reglamentos y buenas prácticas». Se ejecuta en nubes públicas o en su propio centro de datos. LG Electronics adquirió una participación mayoritaria en Cybellum en 2021, y Cybellum sigue funcionando como marca propia.

En qué se diferencia CRACI

Cybellum parte de los artefactos: la imagen de firmware, el árbol de código fuente, la SBOM que envió un proveedor. CRACI parte del propio build, porque el build se ejecuta en CRACI.

Observado, no deducido

Usted cambia runs-on a craci y el job se ejecuta en una máquina virtual aislada en un runner de CRACI. Un proxy que entiende de paquetes registra lo que el job descarga de las fuentes de paquetes, y los paquetes restaurados desde cachés de CI se arrastran al registro. Cada SBOM indica su grado de completitud, por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Los equipos de firmware pueden ejecutar Yocto en runners de hasta 32 vCPU y 96 GB de RAM. En un build comparado de core-image-sato, la SBOM de CRACI contenía todos los componentes de la salida SPDX del propio Yocto, 88 más, como paquetes del host y GitHub Actions, y una URL de paquete para cada una de las 653 versiones de crates de Rust que Yocto lista sin ella.

A qué builds y productos llegó una CVE

CRACI conserva cada build anterior con su SBOM, así que cuando se publica un aviso puede ver qué builds contenían la dependencia vulnerable, directa o transitiva, y durante cuánto tiempo, dentro de su periodo de conservación. Su vista de inventario muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. CRACI reevalúa de forma continua las SBOM monitorizadas, es compatible con VEX y permite a los equipos de seguridad hacer el triaje de los hallazgos y enviar cada uno al equipo responsable de la corrección. Puede añadir SBOM de proveedores, de modo que los componentes adquiridos se monitorizan junto con sus propios builds.

Control durante el build

Un escaneo del resultado no puede cambiar a qué pudo acceder el build. La política de egress de CRACI sí puede: es de denegación o de permiso por defecto, se valida antes de que empiece el job, si falla, bloquea y envía una alerta cuando se infringe. Los controles de política también pueden detener un build que contenga una CVE concreta.

A qué renuncia con CRACI

CRACI no analiza binarios, así que no puede decirle qué hay dentro de un blob de un proveedor que descarga su build, solo que el build lo descargó y de dónde. No busca zero-days, el escaneo del código fuente en busca de debilidades de código queda fuera de su alcance, y no ofrece comprobaciones guiadas frente a normas ni exportación de informes. Hoy solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta, y funciona con runners gestionados en infraestructura europea, con runners alojados por el cliente en la hoja de ruta.

Cuándo usar cada uno

• La mayor parte de su firmware le llega de proveedores en forma de binarios. Cybellum. El análisis del binario es la manera de ver su interior.
• Compila su propio software y sus imágenes en GitHub Actions. CRACI ejecuta el build, registra sus entradas y hace el seguimiento de las vulnerabilidades de lo que registró, de modo que el inventario del PSIRT sale del propio build.
• Necesita evidencia para presentaciones normativas en automoción o productos sanitarios. Cybellum tiene plantillas normativas para FDA PMA, ISO 21434 y el CRA de la UE. CRACI exporta las SBOM en CycloneDX o SPDX, y su API devuelve SBOM, trazas de red y procedencia, para su proceso más amplio.
• Quiere limitar lo que pueden descargar los builds. CRACI. Ese control solo existe donde se ejecuta el build.

Para el CRA

El Cyber Resilience Act pide a los fabricantes que identifiquen y documenten los componentes de sus productos, SBOM incluida, que gestionen las vulnerabilidades durante el periodo de soporte y, desde septiembre de 2026, que notifiquen las vulnerabilidades explotadas activamente. Cybellum ayuda con plantillas y evidencia para el CRA en todos los productos y proveedores. CRACI ayuda generando, por build, evidencia de lo que entró en el software que usted compila, con monitorización continua y exportación de SBOM en CycloneDX o SPDX, y envía en su nombre las notificaciones del CRA. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que los fabricantes necesitan para su proceso más amplio de cumplimiento del CRA; no hace que un producto cumpla por sí solo. Lea qué exige el CRA.

Ejecutar sus builds en CRACI

Dirija su job de build a runs-on: craci y el mismo workflow seguirá ejecutándose en GitHub Actions mientras CRACI lo registra. Para Yocto, el ejemplo de la documentación de CRACI muestra un workflow completo de BitBake. Vea cómo funciona CRACI para el IoT industrial y la electrónica de consumo.

¿Es nuevo en esta función? Lea qué hace un PSIRT y CRACI para equipos PSIRT. ¿Valora más de dos herramientas? Consulte la comparativa de herramientas para PSIRT y las alternativas a Cybellum.