CRACI frente a Trivy

La respuesta corta

Trivy es una de las herramientas de seguridad gratuitas más útiles que existen. Escanea imágenes de contenedor, sistemas de archivos, repositorios, imágenes de máquina virtual y Kubernetes en busca de vulnerabilidades, errores de configuración, secretos y licencias, y genera SBOM como efecto secundario. CRACI es un runner de GitHub Actions que registra lo que descargó cada build, controla a dónde puede conectarse el build y sigue monitorizando las vulnerabilidades de lo distribuido. La diferencia fundamental: Trivy deduce la lista de componentes a partir de archivos, mientras que CRACI la observa. Para la SBOM y las vulnerabilidades de dependencias del software que usted genera, CRACI sustituye a Trivy. Para el resto de lo que escanea Trivy, elija una herramienta por trabajo de la lista siguiente.

Por qué los equipos buscan alternativas a Trivy

• La vulneración de la cadena de suministro de marzo de 2026. El aviso de Aqua Security (CVE-2026-33634) describe una versión maliciosa v0.69.4 de Trivy y etiquetas envenenadas de trivy-action y setup-trivy el 19 de marzo de 2026, seguidas de imágenes maliciosas en Docker Hub el 22 de marzo. El código inyectado robaba credenciales de los runners de CI. Aqua publicó las versiones seguras y recomienda fijar las acciones a SHA de commit completos.
• Un escaneo no es un seguimiento. Trivy informa de lo que encuentra cuando se ejecuta. Mantener los hallazgos, los responsables y el estado en todos los repositorios y versiones, y volver a comprobar el software distribuido cuando aparecen nuevos avisos, queda en manos de usted.
• La SBOM se deduce a partir de archivos. Un escaneo previo al build lee lockfiles. Si un repositorio no incluye ninguno, hay poco que leer, y las versiones que resuelve una instalación real se deciden durante el build.
• Amplitud antes que profundidad. Un solo binario cubre muchos trabajos. Los equipos que necesitan más en un área, como la infraestructura como código o las imágenes de contenedor, suelen trasladar ese trabajo a una herramienta específica.

Cada escáner que su pipeline descarga y ejecuta forma parte a su vez de su cadena de suministro de software, y se ejecuta junto a los secretos del job. En CRACI, el runner registra la SBOM, así que no hay ningún paso de escáner que descargar para el software que usted genera. La política de egress del runner puede limitar a qué hosts llega cualquier paso del job, y la traza de red de cada job queda registrada. Fijar las acciones a SHA de commit, como recomienda Aqua, también se aplica en CRACI.

Alternativas a Trivy, según el trabajo que Trivy hace para usted

• SBOM y vulnerabilidades de dependencias del software que usted genera: CRACI. Registra la SBOM desde el build, la sigue reevaluando y envía los hallazgos al equipo responsable.
• Escaneo de imágenes de contenedor y sistemas de archivos: Grype, el escáner de vulnerabilidades de código abierto de Anchore para imágenes de contenedor, sistemas de archivos y SBOM, con datos EPSS y KEV para la priorización. Se combina con Syft para las SBOM. Consulte CRACI frente a Syft y Grype.
• Infraestructura como código: Checkov escanea plantillas de Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, Dockerfiles, Bicep y ARM, y también comprueba secretos y paquetes de código abierto. KICS cubre Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi y más. Ambos son de código abierto bajo Apache-2.0.
• Secretos: Gitleaks detecta contraseñas, claves de API y tokens en repositorios Git y archivos, y es de código abierto bajo MIT.
• Un escáner comercial con recomendaciones de corrección: consulte CRACI frente a Snyk y la comparativa de herramientas de SCA.

Para ver cada opción con más detalle, y Grype frente a Trivy, consulte la guía completa de alternativas a Trivy.

Lo que Trivy hace bien

La propia descripción de Trivy es «a comprehensive and versatile security scanner», y es acertada. Un solo binario cubre varios trabajos que, de otro modo, requerirían herramientas independientes:

• Muchos objetivos. Imágenes de contenedor, sistemas de archivos, repositorios Git remotos, imágenes de máquina virtual y Kubernetes.
• Muchos escáneres. Paquetes del sistema operativo y dependencias de software, vulnerabilidades conocidas, errores de configuración de infraestructura como código, secretos y licencias de software.
• SBOM de entrada y de salida. trivy fs --format cyclonedx o --format spdx-json escribe una SBOM, y trivy sbom escanea una SBOM existente en busca de vulnerabilidades.
• Funciona en cualquier sitio. Es de código abierto bajo Apache-2.0, funciona como CLI y tiene una GitHub Action y un operador de Kubernetes.

CRACI no hace ningún escaneo de IaC, secretos ni clústeres. Si necesita comprobar un plan de Terraform, detectar un token incluido en un commit o escanear una imagen de terceros que usted no generó, Trivy o una de las herramientas anteriores es la opción adecuada.

2:07

En qué se diferencia CRACI

Trivy lee archivos; CRACI observa el build

La documentación de Trivy es clara sobre su método: «If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files.» Para un objetivo posterior al build, como una imagen de contenedor, lee en su lugar los metadatos de los paquetes instalados y los binarios. En los repositorios de Node.js, eso significa package-lock.json, yarn.lock, pnpm-lock.yaml o bun.lock.

Ese diseño es razonable, y tiene un límite previsible. expressjs/express 5.2.1 no incluye ningún lockfile, y el repositorio anthropics/claude-code no tiene ningún manifiesto de dependencias, así que, en un escaneo previo al build de cualquiera de los dos, Trivy no tiene nada que leer. Eso es Trivy funcionando como está documentado, no un fallo. Las versiones que resolvería una instalación real se deciden durante el build.

CRACI empieza por el otro extremo. Los jobs se ejecutan con runs-on: craci, y un proxy que entiende de paquetes registra lo que el job descarga de fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de presets de descarga. Los paquetes restaurados desde una caché de CI conservan su evidencia. La SBOM (CycloneDX o SPDX) describe lo que el build utilizó realmente, con o sin lockfile.

Indica cuándo el registro está incompleto

Cada job y caché de CRACI tiene un estado de completitud: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Una SBOM vacía o escasa se ve como tal, en lugar de parecer la de un proyecto con pocas dependencias.

Controla el build

Como CRACI ejecuta el job, puede aplicar una política de egress de red: denegación o permiso por defecto, con 24 presets de fuentes de software integrados, validada antes de que empiece el job y que bloquea si falla (fail closed). El control de egress queda fuera del alcance de Trivy. La API devuelve SBOM, trazas de red y datos de procedencia. CRACI no firma la procedencia. Para firmar, la documentación de Trivy muestra un flujo con dos herramientas: Trivy escribe la SBOM y Cosign la firma como atestación.

Sigue vigilando

Trivy escanea cuando usted lo ejecuta. CRACI agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas, y los equipos de seguridad pueden hacer el triaje de los hallazgos y enviarlos al equipo responsable de la corrección. Las SBOM de proveedores se monitorizan junto a los builds de su organización. Los controles de política de CRACI pueden bloquear un build; las alertas por umbral están en la hoja de ruta.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Migrar desde Trivy

En CRACI no hay ninguna SBOM que generar ni ningún escaneo de dependencias que mantener para los builds que distribuye. El runner registra la SBOM mientras se ejecuta el build, y CRACI sigue comprobándola en busca de nuevas vulnerabilidades una vez terminado el build.

Tenga claro lo que CRACI no hace. No escanea infraestructura como código, clústeres de Kubernetes ni imágenes de máquina virtual, no busca secretos ni errores de configuración y no escanea imágenes ni software que usted no haya generado. Las alertas por umbral están en la hoja de ruta. Hoy solo ejecuta GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Si depende de Trivy para algo de eso, consérvelo para eso.

Para el Cyber Resilience Act

El CRA pide a los fabricantes que documenten los componentes de cada producto, incluida una SBOM, y que gestionen y notifiquen las vulnerabilidades de lo que distribuyen. Trivy ayuda encontrando vulnerabilidades y errores de configuración y produciendo SBOM, y construir el rastro de evidencia de la versión a la SBOM queda en manos de usted. CRACI registra la SBOM por build, la vincula al artefacto, exporta las SBOM en CycloneDX o SPDX y envía en su nombre las notificaciones de vulnerabilidades del CRA. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Consulte qué es el CRA y la generación de SBOM durante el build.

CRACI frente a Trivy: preguntas frecuentes

Opciones gratuitas, la vulneración de marzo de 2026 y lo que CRACI sustituye

¿Cuál es la mejor alternativa a Trivy?

Depende de qué trabajo de Trivy quiera sustituir. Para las SBOM y las vulnerabilidades de dependencias del software que genera con GitHub Actions, CRACI registra la SBOM desde el build y sigue monitorizándola. Para escanear imágenes de contenedor, Grype es una opción de código abierto muy parecida. Para la infraestructura como código, Checkov y KICS son opciones de código abierto. Para los secretos, Gitleaks. Ninguna herramienta sustituye por sí sola todo lo que hace Trivy.

¿Existe una alternativa gratuita a Trivy?

Sí. Grype (imágenes, sistemas de archivos y SBOM), Checkov y KICS (infraestructura como código) son de código abierto bajo Apache-2.0, y Gitleaks (secretos) es de código abierto bajo MIT. CRACI es un producto de pago, facturado por minuto de build y sin cuota mensual.

¿Sigue siendo seguro usar Trivy tras la vulneración de marzo de 2026?

El aviso de Aqua Security (CVE-2026-33634) describe una versión maliciosa v0.69.4 de Trivy y etiquetas envenenadas de trivy-action y setup-trivy el 19 de marzo de 2026, e imágenes maliciosas en Docker Hub el 22 de marzo. Aqua enumera las versiones seguras y recomienda rotar los secretos que hayan podido quedar expuestos y fijar las GitHub Actions a SHA de commit completos. Consulte el aviso para comprobar las versiones que ejecuta.

¿Cuál es la diferencia entre Trivy y Grype?

Ambos son escáneres de código abierto bajo Apache-2.0. Grype se centra en las vulnerabilidades de imágenes de contenedor, sistemas de archivos y SBOM, y se combina con Syft para generar SBOM. Trivy cubre más objetivos y escáneres en un solo binario, entre ellos infraestructura como código, secretos, licencias, imágenes de máquina virtual y Kubernetes.

¿Puede CRACI sustituir a Trivy?

Para la SBOM y las vulnerabilidades de dependencias del software que genera en GitHub Actions, sí: CRACI registra la SBOM mientras se ejecuta el build y la sigue reevaluando con los datos de vulnerabilidades. CRACI no escanea infraestructura como código, clústeres de Kubernetes, imágenes de máquina virtual, secretos, errores de configuración ni imágenes que usted no haya generado. Para eso, conserve Trivy u otro escáner.

¿Escanea CRACI Terraform u otra infraestructura como código?

No. CRACI registra lo que descargan sus builds y hace el seguimiento de las vulnerabilidades de lo que usted distribuye. Para Terraform y otra infraestructura como código, utilice el escáner de errores de configuración de Trivy o una herramienta específica como Checkov o KICS.