CRACI frente a Manifest

La respuesta corta

Manifest (Manifest Cyber) es una plataforma de cadena de suministro de software construida en torno a las SBOM. Las crea, importa, enriquece y comparte para sus propios productos, el software de sus proveedores y sus modelos de IA. CRACI es un runner de GitHub Actions que registra las dependencias que cada job descargó realmente y genera la SBOM a partir de ese registro, con un estado de completitud.

Manifest gestiona las SBOM que recibe o que genera con escáneres. CRACI genera la SBOM desde el build y hace desde ahí el seguimiento de sus vulnerabilidades. Para el software que usted mismo compila, CRACI cubre el CI, la SBOM y el seguimiento de vulnerabilidades, así que ya no hace falta una plataforma aparte de gestión de SBOM.

De un vistazo

Lo que Manifest hace bien

• Software de terceros. Este es el punto fuerte más claro de Manifest. Los proveedores suben las SBOM directamente mediante un portal seguro y, cuando un proveedor no quiere o no puede facilitar una SBOM, Manifest puede analizar el binario y generar una SBOM directamente a partir de la aplicación compilada. CRACI no tiene equivalente: registra los builds que usted ejecuta.
• Operaciones con SBOM. Manifest recopila y combina SBOM, las enriquece con datos de vulnerabilidades y explotabilidad y convierte los resultados en tickets automáticos, comunicaciones con proveedores e informes de riesgo. Es compatible con SPDX, CycloneDX y VEX.
• Cobertura de CI. La CLI de Manifest puede generar y subir SBOM desde cualquier pipeline de CI/CD, con configuraciones documentadas para GitHub Actions, CircleCI, Jenkins y Azure DevOps, además de una GitHub App.
• Riesgo de IA. Manifest inventaría modelos de IA y AIBOM junto al software, lo que conviene a las organizaciones que gobiernan la adopción de la IA.
• Sectores regulados. Relaciona sus capacidades con las directrices de ciberseguridad de la FDA, EO 14028, NIST 800-218, UNECE R155 e ISO/SAE 21434, y atiende a los sectores de automoción, defensa, dispositivos médicos, administración pública y servicios financieros.

En qué se diferencia CRACI

Un registro del build, no un escaneo del repositorio

La GitHub Action de Manifest genera SBOM con un escáner de código abierto. Por defecto usa Syft, y también admite Trivy, cdxgen y otros. Esas herramientas leen los archivos y las imágenes a los que se las apunta. CRACI, en cambio, ejecuta el job. Cambie runs-on a craci y un proxy que entiende de paquetes registrará el tráfico hacia las fuentes de paquetes durante el build: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue en el registro.

La diferencia se nota en cuanto se acaban los archivos. Express 5.2.1 no incluye ningún lockfile en el repositorio, así que un generador apuntado a un checkout limpio no tiene dependencias npm que resolver y devuelve cualquier otra cosa que reconozca, como GitHub Actions y archivos de workflow. Manifest en sí no se puede comparar de este modo, y CRACI tampoco, porque registra builds y no puede escanear un directorio. La cuestión es que la respuesta de un escaneo depende de la herramienta, de su configuración y de los archivos presentes, y cada decisión posterior en una plataforma de gestión hereda esa respuesta.

Un estado de completitud en cada SBOM

CRACI indica la completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. El estado es transitivo entre cachés, de modo que cada alerta e informe se apoya en un inventario cuyas lagunas se conocen.

Control y procedencia

Como CRACI ejecuta el job, aplica una política de egress de red: denegación por defecto o permiso por defecto, con 24 presets integrados de fuentes de software y fuentes personalizadas tipadas, validada antes de que empiece el job y que bloquea si falla. La API devuelve SBOM, trazas de red y procedencia; CRACI no firma la procedencia.

Monitorización

CRACI reevalúa de forma continua las SBOM monitorizadas y agrega las vulnerabilidades de todos los builds y repositorios. CRACI permite a los equipos de seguridad hacer el triaje de los hallazgos y enviarlos al equipo adecuado.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Sustituir Manifest por CRACI

Para los productos que usted compila, CRACI hace todo el trabajo: ejecuta el build en GitHub Actions, registra la SBOM a partir de él, sigue reevaluando esa SBOM a medida que se publican nuevas vulnerabilidades y exporta la evidencia. No hay ningún escáner que configurar ni ningún paso de subida entre su pipeline y su plataforma de SBOM.

Tenga claro a qué renuncia. El punto fuerte de Manifest es el software que usted compra: un portal de subida para proveedores y análisis binario cuando un proveedor no facilita SBOM. CRACI puede guardar SBOM de proveedores junto a sus propios builds, pero no tiene portal de proveedores ni análisis binario. Manifest también ofrece tickets automáticos, inventaría modelos de IA y funciona con varios sistemas de CI, mientras que CRACI es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Si el software de terceros es su principal exposición, Manifest sigue siendo la opción más adecuada.

Para el Cyber Resilience Act

Manifest publica material sobre el CRA y, en relación con él, afirma que genera y mantiene SBOM y AIBOM, vincula los componentes con vulnerabilidades y procedencia, automatiza la monitorización continua y las notificaciones, y produce evidencia exportable para la conformidad con el CRA.

Las obligaciones de notificación del CRA se aplican desde el 11 de septiembre de 2026: una alerta temprana en un plazo de 24 horas ante una vulnerabilidad explotada activamente, a través de la plataforma única de notificación del CRA. Sus disposiciones principales se aplican desde el 11 de diciembre de 2027. Para sus propios productos, la pregunta que puede hacer una autoridad es cómo sabe usted que la SBOM coincide con la versión. La respuesta de CRACI es la evidencia del build: su API devuelve la SBOM en CycloneDX de cada build, la procedencia y la traza de red del job, y las SBOM se exportan en CycloneDX o SPDX.

CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguno de los dos productos hace que un fabricante cumpla por sí solo. Consulte qué exige el CRA y el cumplimiento del CRA con CRACI.