CRACI frente a Exein

La respuesta corta

Exein fabrica productos de seguridad para dispositivos embebidos y conectados. Exein Runtime vigila y bloquea amenazas en el propio dispositivo, y Exein Analyzer escanea el firmware en busca de vulnerabilidades antes del lanzamiento. Su capa de Yocto, meta-exein, introduce el agente de tiempo de ejecución en su imagen. CRACI es un runner de GitHub Actions: su build de Yocto se ejecuta en él, y CRACI registra lo que el build descargó y limita a dónde puede conectarse. Exein trabaja en el dispositivo y el firmware; CRACI trabaja en el build. La mayoría de los equipos que necesiten ambas cosas usarán los dos.

De un vistazo

Qué es la integración de Exein con Yocto

Los dos productos se confunden con facilidad porque ambos mencionan Yocto, así que conviene ser preciso. meta-exein es una capa de Yocto de código abierto que contiene recetas de Pulsar y del kernel para añadir a una imagen el framework de seguridad Pulsar. Añade la capa a bblayers.conf, agrega pulsar a IMAGE_INSTALL y activa BTF, y su imagen se distribuye con Pulsar, la herramienta de seguridad en tiempo de ejecución de Exein basada en eBPF. La capa se prueba en versiones de Yocto a partir de Kirkstone y en 2024 pasó a ser una capa oficial Yocto Project Compatible. Exein se unió al Yocto Project como Platinum Member en 2023.

En otras palabras, la capa de Exein cambia lo que se ejecuta en el dispositivo. No ejecuta su build ni registra lo que descargó. Exein también afirma que Exein Analyzer está integrado de forma nativa en Yocto, Buildroot y su pipeline de CI/CD para escanear cada nuevo build, lo que supone analizar la salida del build dentro de su propio pipeline.

Lo que Exein hace bien

Protección en tiempo de ejecución en el dispositivo. Exein Runtime está escrito en Rust y utiliza eBPF para monitorizar y bloquear el comportamiento malicioso a nivel de kernel, en el momento en que intenta ejecutarse. En toda una flota, rastrea los incidentes y genera informes forenses y de cumplimiento a partir de la telemetría en tiempo de ejecución. Exein también publica como código abierto Pulsar, que describe como una herramienta de seguridad en tiempo de ejecución modular y muy rápida para el IoT, basada en eBPF.

Análisis de firmware antes del lanzamiento. Exein Analyzer inspecciona directamente el firmware final, o ingiere su SBOM cuando el binario no está disponible. Exein afirma que cubre Linux, RTOS, Docker, UEFI, Android y más, y que utiliza puntuación de alcanzabilidad y filtrado basado en LLM para poner primero las CVE explotables.

Corrección y correspondencia con el CRA. Exein describe una corrección impulsada por IA que se ejecuta dentro de pipelines de Yocto y CI/CD, y relaciona los hallazgos con los requisitos del Cyber Resilience Act.

En qué se diferencia CRACI

Ejecuta el build

Los builds de Yocto son largos y pesados. CRACI ejecuta BitBake desde su workflow de GitHub Actions en runners de hasta 32 vCPU y 96 GB de RAM, configurados con cracicorp/setup@v1 y size: "32". Los jobs se ejecutan en máquinas virtuales aisladas, y las ejecuciones siguen apareciendo en GitHub.

Registra lo que descargó el build

Mientras se ejecuta un job, CRACI observa el tráfico hacia los hosts de paquetes y de código fuente y lo conserva como evidencia del build, con un estado de completitud por job y por caché. En Yocto, eso es una relación independiente de lo que llegó por la red, incluido lo que omite la SBOM SPDX de la clase create-spdx de Yocto: en un build comparado de core-image-sato, la SBOM de CRACI tenía todos los componentes de la de Yocto, 88 más, como paquetes del host y GitHub Actions, y una URL de paquete para cada una de las 653 versiones de crates de Rust que Yocto enumera sin ella. Las fuentes que BitBake descarga del mirror de código fuente de Yocto quedan registradas en la SBOM del job de CRACI.

Controla a dónde puede conectarse el build

BitBake puede restringir su fetcher con BB_ALLOWED_NETWORKS. CRACI añade una política de egress en el runner, validada antes de que empiece el job y que bloquea si falla, de modo que un script o herramienta que se salte el fetcher sigue sin poder alcanzar un host que usted no haya permitido. CRACI le alerta de cualquier infracción.

Vigila lo distribuido

La API devuelve SBOM, trazas de red y procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas.

CRACI no instala nada en el dispositivo y no analiza binarios. Si necesita protección en tiempo de ejecución o un escaneo de una imagen terminada, ese es terreno de Exein.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Cuándo usar cada uno y cuándo usar los dos

• Quiere detectar y bloquear amenazas en dispositivos sobre el terreno. Exein Runtime. CRACI no tiene ningún componente en el dispositivo.
• Sus builds de Yocto se ejecutan en un servidor debajo de una mesa, o tardan horas en runners de CI pequeños. CRACI los ejecuta desde GitHub Actions y conserva un registro de cada uno.
• Distribuye una imagen de Yocto con meta-exein. Compílela en CRACI. La capa se compila como cualquier otra, y CRACI registra lo que descargó el build.
• Necesita mostrar de dónde salió la SBOM. El registro del runner de CRACI vincula la SBOM a un build concreto. El escaneo de la salida con Exein Analyzer es una segunda perspectiva útil.

Para el CRA

El Cyber Resilience Act pide a los fabricantes que documenten los componentes de sus productos, incluida una SBOM, que gestionen las vulnerabilidades durante el periodo de soporte y que, desde septiembre de 2026, notifiquen las vulnerabilidades explotadas activamente. Exein ayuda en el lado del dispositivo, con análisis de firmware previo al lanzamiento, correspondencia con la evidencia del CRA y telemetría en tiempo de ejecución desde el terreno. CRACI ayuda en el lado del build, con evidencia por build de lo que entró en el firmware, procedencia, monitorización continua y exportación de SBOM en CycloneDX o SPDX. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que los fabricantes necesitan para su proceso más amplio de cumplimiento del CRA; por sí solo no hace que un producto cumpla. Lea qué exige el CRA.

Añadir CRACI a un workflow de Yocto

Conserve sus capas, incluida meta-exein, y su paso de Exein Analyzer. Defina runs-on: craci en el job de build y elija un tamaño de runner. El ejemplo de Yocto de la documentación de CRACI compila core-image-sato con el mirror oficial de código fuente de Yocto y un ajuste BB_ALLOWED_NETWORKS acorde. CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Vea cómo funciona CRACI para el IoT industrial y la electrónica de consumo.