CRACI frente a Safeguard

La respuesta corta

Safeguard vende una plataforma de seguridad de la cadena de suministro de software. Su web dice que encuentra vulnerabilidades, incluidas las que aún no tienen CVE, las filtra con análisis de alcanzabilidad y hace que sus modelos de IA Griffin escriban el parche, ejecuten su CI y fusionen la pull request según su política. Genera SBOM en CycloneDX y SPDX, registra procedencia SLSA, asigna evidencia a marcos de cumplimiento y funciona en la nube, on-premise o air-gapped. No ejecuta builds: su CLI se ejecuta en el CI que usted ya tiene.

CRACI compite por el mismo presupuesto de cadena de suministro desde otro lugar. Es el runner para GitHub Actions: registra los paquetes que cada job incorporó realmente, aplica una política de egress mientras se ejecuta el job y sigue monitorizando lo distribuido. Safeguard cubre más terreno en torno al código; CRACI profundiza más en el build y en lo que salió de él.

De un vistazo

La columna de Safeguard refleja lo que indican su propia web y su documentación, comprobado el 29 de septiembre de 2026. «No indicado» significa que no pudimos confirmarlo allí.

Lo que Safeguard hace bien

• Correcciones, no solo hallazgos. Safeguard dice que Griffin AI demuestra la alcanzabilidad, escribe una actualización compatible, ejecuta su CI y su suite de regresión en una rama aislada y fusiona según sus controles de política. Todos los planes de pago incluyen un cupo mensual de pull requests de corrección.
• Alcanzabilidad primero. Los hallazgos se filtran al código vulnerable que su aplicación puede alcanzar realmente, lo que mantiene corta la cola.
• Más allá de las dependencias. Su CLI también notifica secretos y errores de configuración en SARIF, que aparecen en la pestaña de code scanning de GitHub, y la plataforma describe el escaneo de código fuente, IaC y contenedores.
• Componentes reforzados. Un directorio y registro público Gold de imágenes y paquetes reforzados, para que los equipos puedan partir de componentes sin CVE conocidos.
• Riesgo de proveedores. Un Third Party Risk Manager puntúa a los proveedores y verifica las SBOM que aportan, y un Portal pone las SBOM de su organización a disposición de sus clientes.
• Amplitud de CI, opciones de despliegue y un plan gratuito. Su documentación cubre GitHub Actions, GitLab CI/CD, Jenkins y Azure DevOps. Ofrece despliegue on-premise y air-gapped en su nivel Sovereign, publica precios de autoservicio y tiene un plan gratuito sin tarjeta.

En qué se diferencia CRACI

Registrado desde el build, no escaneado después

La documentación de Safeguard dice que su CLI ejecuta Syft y Grype, y que crea SBOM a partir de repositorios conectados, imágenes de contenedor y manifiestos subidos como package.json y requirements.txt. Esa es la forma habitual de crear una SBOM: leer los archivos y deducir qué entró. CRACI, en cambio, ve el tráfico que entra en cada build. Un proxy que entiende de paquetes registra cada paquete que descargó el job de fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga, y los paquetes restaurados desde cachés de CI permanecen en el registro.

Así es como CRACI registra las dependencias ocultas que las herramientas basadas en lockfiles pasan por alto: código descargado por hooks de instalación de npm, scripts de build de Rust que descargan durante el build y las capas de la imagen base de un build de contenedor. Cada SBOM lleva un estado de completitud por job y por caché (Complete, Complete with connections, Incomplete, Unavailable o Not recorded), de modo que, cuando el registro tiene una laguna, lo dice.

Control mientras se ejecuta el build

Un escáner informa de lo que encuentra a posteriori. Como CRACI es el runner, decide a qué hosts puede llegar un job mientras se ejecuta. Las políticas de egress son de denegación o permiso por defecto, con 24 presets integrados de fuentes de software y fuentes personalizadas tipadas, se validan antes de que empiece el job y, si fallan, bloquean. Con una política de denegación por defecto, un paquete comprometido que intente enviar sus secretos a un host desconocido queda bloqueado, incluso en un ataque que nadie haya visto antes, y CRACI le avisa de la infracción.

Procedencia y monitorización a partir de un solo registro

Safeguard dice que genera, almacena y verifica procedencia SLSA. La procedencia de CRACI proviene del runner en el que se ejecutó el job: la API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia ni declara ningún nivel de SLSA. Sigue reevaluando las SBOM de lo que usted distribuyó a medida que se publican nuevas vulnerabilidades, y muestra todos los builds anteriores que contenían una dependencia vulnerable, para que sepa cuánto tiempo estuvo expuesto.

El runner forma parte del producto

Como CRACI es el runner, la evidencia viene con el cómputo: las ejecuciones siguen apareciendo en GitHub, y CRACI ejecuta los builds aproximadamente el doble de rápido que los runners alojados por GitHub, gracias a un hardware más rápido, menos tiempo en cola y la caché. CRACI cobra solo por los minutos de build, $0.002 por vCPU-minuto ($0.004 para un runner de 2 vCPU por defecto), medido por segundo, sin cuota mensual ni cargo por SBOM. Consulte los precios de CRACI.

Cuál encaja mejor

Safeguard encaja mejor cuando

• Quiere que le escriban, prueben y fusionen las pull requests de corrección.
• Quiere análisis de alcanzabilidad y hallazgos de secretos y errores de configuración en la misma plataforma.
• Compila en GitLab, Jenkins o Azure DevOps.
• Necesita hoy un despliegue on-premise o air-gapped.
• Quiere un registro de componentes reforzados o puntuación del riesgo de proveedores junto a sus SBOM.

CRACI encaja mejor cuando

• Compila en GitHub Actions y quiere el runner, la política de egress y el registro de dependencias en un solo lugar.
• Necesita una SBOM de lo que cada build descargó realmente, con un estado de completitud que pueda mostrar a un auditor.
• Quiere monitorización de lo distribuido e historial de builds a partir del mismo registro.

Sustituir Safeguard por CRACI

Para el software que usted compila en GitHub Actions, CRACI asume el trabajo de SBOM y monitorización: registra la SBOM en el build con su completitud indicada, sigue reevaluando las SBOM monitorizadas, agrega los hallazgos de todos los builds y repositorios y permite a los equipos de seguridad hacer su triaje y enviar cada uno al equipo responsable de la corrección. Los controles de política pueden bloquear un build por sus hallazgos, incluido un CVE concreto.

Tenga claro a qué renuncia. CRACI no abre pull requests de corrección, no tiene análisis de alcanzabilidad, no escanea secretos ni errores de configuración, no ofrece un registro de componentes reforzados, no tiene procedencia firmada ni nivel de SLSA, no detecta nuevos paquetes maliciosos por su comportamiento (señala las versiones maliciosas conocidas una vez publicado un aviso con CVE) y hoy no tiene opción on-premise ni air-gapped. Solo ejecuta GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Si la corrección automatizada o esas opciones de despliegue importan más que un registro de a partir de qué se compiló cada versión, Safeguard encaja mejor.

Qué comprobar antes de comprar cualquier herramienta de SBOM

Estas preguntas se aplican a todos los proveedores de esta categoría, CRACI incluido.

• ¿Cómo se produce la SBOM? Pregunte qué herramienta la genera y a partir de qué: lockfiles y manifiestos, un escaneo de la imagen terminada o un registro del build. Después ejecútela en uno de sus propios builds y compare las listas de componentes, incluidas las dependencias transitivas.
• Compruebe las certificaciones con el emisor. Un certificado o una autorización se pueden confirmar con el organismo que los emitió, y estar diseñado para un marco o alineado con él no es lo mismo que poseerlo. La página de seguridad de Safeguard describe su arquitectura como diseñada para FedRAMP High e IL5 y su auditoría SOC 2 Type II como en curso; en coherencia con esa redacción, Safeguard no figuraba en el FedRAMP Marketplace cuando lo comprobamos el 29 de septiembre de 2026. CRACI cuenta con la certificación ISO/IEC 27001 de Into Certification, con detalles en su Trust Center.
• Pida referencias. La web de Safeguard describe a sus clientes de forma anónima, bajo NDA. Sea cual sea el proveedor que considere, CRACI incluido, pida una llamada de referencia con un equipo como el suyo.
• Confirme el precio por escrito. Los precios publicados cambian. La página de precios de Safeguard señala que sus cifras son propuestas pendientes de aprobación final.

Requisitos de SBOM

Varios marcos piden una SBOM y una forma de gestionar sus vulnerabilidades: la US Executive Order 14028 orienta las directrices de contratación federal en torno a las SBOM, la sección 524B de la FDA exige una para los dispositivos cibernéticos, y el Cyber Resilience Act de la UE pide a los fabricantes que documenten sus componentes. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro que esos procesos necesitan: SBOM generadas durante el build y exportadas en CycloneDX o SPDX, seguimiento de vulnerabilidades y procedencia mediante la API. Consulte evidencia para el CRA. Ninguna de las dos herramientas hace que un producto cumpla por sí sola.

Para otras herramientas de este ámbito, consulte CRACI frente a Anchore, CRACI frente a Syft y Grype y la comparativa de herramientas de SBOM.

Safeguard: preguntas frecuentes

¿Qué es Safeguard?

Safeguard (Safeguard.sh Inc, Dublin, California, según su web) vende una plataforma de seguridad de la cadena de suministro de software. Su web describe generación de SBOM en CycloneDX y SPDX, procedencia SLSA, análisis de alcanzabilidad, pull requests de corrección escritas por IA con sus modelos Griffin, gestión de riesgos de terceros, un registro de componentes reforzados y despliegue en la nube, on-premise o air-gapped.

¿Cómo genera Safeguard las SBOM?

Según su documentación, Safeguard crea SBOM a partir de repositorios conectados, imágenes de contenedor y manifiestos de paquetes subidos, y su CLI (safeguard scan) ejecuta Syft y Grype en su pipeline. Su comparativa con Anchore indica que su SBOM es CycloneDX y SPDX "via Syft". CRACI no escanea: ejecuta el build y registra los paquetes que descargó cada job.

¿Safeguard ofrece runners de CI?

No. La documentación de CI de Safeguard muestra su CLI ejecutándose dentro de pipelines de GitHub Actions, GitLab CI/CD, Jenkins y Azure DevOps que usted opera, y señala que la CLI informa de los hallazgos sin hacer fallar el build; las políticas se hacen cumplir en los controles de política de la plataforma. CRACI es el runner: los jobs de GitHub Actions se ejecutan en CRACI, que registra lo que descargó cada job y controla lo que puede alcanzar.

¿Cuánto cuesta Safeguard?

A septiembre de 2026, la página de precios de Safeguard indica un plan gratuito con 5 pull requests de corrección, 100 componentes escaneados y 100 llamadas a herramientas MCP al mes; planes individuales de $9, $25, $49 y $99 al mes; planes Team de $19, $49 y $99 por usuario al mes, con un mínimo de dos usuarios; y Business, Enterprise y Sovereign mediante presupuesto. Los paquetes de cumplimiento cuestan $2,099 por marco al año. La página señala que sus cifras son propuestas pendientes de aprobación final, así que confirme los precios vigentes con Safeguard. CRACI cobra solo por los minutos de build: $0.002 por vCPU-minuto ($0.004 para un runner de 2 vCPU por defecto), medido por segundo.

¿Puede CRACI sustituir a Safeguard?

Para las SBOM, la procedencia y la monitorización de vulnerabilidades del software que usted compila en GitHub Actions, sí: CRACI genera la SBOM desde el propio build y la sigue monitorizando. CRACI no sustituye las pull requests de corrección con IA de Safeguard, su análisis de alcanzabilidad, su detección de secretos y errores de configuración, su registro de componentes reforzados ni su despliegue air-gapped, y hoy solo ejecuta GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.