CRACI frente a Wiz

La respuesta corta

Wiz es una plataforma de seguridad en la nube y, desde el 11 de marzo de 2026, forma parte de Google. Wiz Code es su producto de seguridad del código: escanea código, dependencias, secretos e IaC, comprueba la configuración del control de versiones y del CI/CD, y conecta lo que encuentra con los recursos de nube en los que acaba ejecutándose el código. En abril de 2026, Wiz amplió Wiz Code a GitHub Actions: ahora interpreta los archivos de workflow, modela workflows, jobs y runners en su Security Graph, y señala activadores, permisos, acciones de terceros y configuraciones de agentes de IA de riesgo.

Eso es análisis de configuración: le dice qué workflows podrían utilizarse de forma abusiva. CRACI trabaja una capa más abajo. Es el runner para GitHub Actions, así que registra los paquetes que cada job incorporó realmente, aplica una política de egress mientras se ejecuta el job y sigue monitorizando lo distribuido. Wiz cubre mucho más terreno, del código a la nube; CRACI cubre lo que ocurre dentro del build.

De un vistazo

«No indicado» significa que no pudimos confirmarlo en las páginas públicas de Wiz.

Lo que Wiz hace bien

Del código a la nube

• Contexto de nube. El núcleo de Wiz es la seguridad en la nube en AWS, Azure, Google Cloud y Oracle Cloud. Escanea máquinas virtuales, contenedores y funciones serverless sin agentes, y ordena las vulnerabilidades con el contexto de su Security Graph: exposición de red, identidades, sensibilidad de los datos y rutas de ataque.
• Correspondencia del código a la nube. Wiz Code rastrea un riesgo encontrado en la nube hasta el código fuente que lo produjo y sugiere la corrección en ese código. Para un equipo que ya utiliza Wiz, los hallazgos de código llegan al mismo grafo que todo lo demás.
• Escaneo en un solo lugar. SCA y SBOM para dependencias directas y transitivas, escaneo de IaC de Terraform, CloudFormation, Azure Resource Manager, Kubernetes y Docker con más de 1.000 reglas, secretos en código, plantillas de IaC e imágenes de contenedor, datos sensibles como PII y PHI, y escaneo de malware del código "before it reaches your CI runners". Wiz SAST y los hallazgos de escáneres de terceros completan el panorama.

Postura de GitHub Actions y CI/CD

• Workflows en el grafo. Wiz interpreta el YAML de los workflows de GitHub Actions y modela workflows, jobs, runners y sus relaciones, de modo que un pipeline se convierte en un activo que se puede consultar, con contexto sobre qué lo activa y a qué puede acceder.
• Configuración de riesgo. Señala activadores peligrosos como pull_request_target, analiza los permisos declarados en los archivos de workflow y abre incidencias por los que son de riesgo o excesivos, muestra entradas de riesgo y posibles filtraciones de secretos en las definiciones de pipeline, hace inventario de las acciones de terceros que usa cada workflow y señala agentes de IA en workflows expuestos a prompt injection.
• Benchmarks. Wiz Code comprueba los sistemas de control de versiones y de CI/CD en busca de errores de configuración y valores predeterminados inseguros, con OpenSSF Best Practices, los OWASP Top 10 CI/CD Risks y benchmarks CIS para GitHub y GitLab.
• Detección de amenazas. Wiz ingiere logs de auditoría de plataformas de control de versiones y de CI/CD para detectar eventos como un clon sospechoso o una regla de protección de rama eliminada, y su Sensor en runners de CI autoalojados puede detectar actividad sospechosa, como un runner que contacta con un dominio de criptominería.

En qué se diferencia CRACI

Aplicación dentro del job, no hallazgos sobre él

El anuncio de Wiz describe inventario, análisis y hallazgos. No describe el control de lo que un job puede alcanzar mientras se ejecuta. La política de egress de CRACI forma parte del runner. Las políticas son de denegación o permiso por defecto, con 24 presets integrados de fuentes de software, fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git, y reglas explícitas de TLS, TCP, UDP e ICMP. Se validan antes de que empiece el job y, si fallan, bloquean, y CRACI le avisa de una infracción.

Esto importa porque los ataques a la cadena de suministro se ejecutan dentro de jobs que parecen bien configurados. La propia investigación de Wiz sobre la segunda oleada de Shai-Hulud concluyó que la mayoría de las infecciones se produjeron en pipelines de CI/CD. Un hallazgo de postura puede indicarle que un workflow está expuesto; no puede detener un paquete comprometido que ya se está ejecutando. Con una política de denegación por defecto, una conexión a un host que el build no necesita queda bloqueada, incluso en un ataque que nadie haya visto antes.

Lo que descargó el build, no lo que declara el código

El SCA de Wiz Code escanea las dependencias de su código, y sus SBOM sin agentes describen cargas de trabajo en la nube. CRACI ve el tráfico que entra en cada build: un proxy que entiende de paquetes registra cada paquete que descargó el job de fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga, incluidos los paquetes restaurados desde cachés de CI. Así es como CRACI registra las dependencias ocultas que las herramientas basadas en lockfiles pasan por alto, como el código descargado por hooks de instalación de npm o las capas de la imagen base de un build de contenedor. Las GitHub Actions que ejecutó un workflow también figuran en la SBOM, fijadas al commit que se utilizó. Cada SBOM lleva un estado de completitud por job y por caché, de modo que, cuando el registro tiene una laguna, lo dice.

Evidencia desde el build

La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia ni declara ningún nivel de SLSA. CRACI sigue reevaluando las SBOM de lo que usted distribuyó a medida que se publican nuevas vulnerabilidades, y muestra todos los builds anteriores que contenían una dependencia vulnerable, para que sepa cuánto tiempo estuvo expuesto.

Dónde va por delante Wiz

Para decirlo con claridad: CRACI no tiene escaneo SAST, de secretos, de IaC ni de malware, ni comprobaciones de postura de CI/CD, ni monitorización de procesos en los runners, ni seguridad en la nube, ni correspondencia del código a la nube. Hoy solo ejecuta GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Si su prioridad es una visión única del riesgo del código a la nube, Wiz cubre mucho más.

Cuál encaja mejor

Wiz encaja mejor cuando

• Ya utiliza Wiz para la seguridad en la nube y quiere el riesgo del código y del pipeline en el mismo grafo.
• Quiere encontrar activadores, permisos y acciones de terceros de riesgo en muchos repositorios.
• Necesita escaneo SAST, de secretos, de IaC y de malware con contexto de nube para priorizar.
• Utiliza runners autoalojados y quiere detección de amenazas en ellos.

CRACI encaja mejor cuando

• Quiere una política de egress aplicada dentro de cada job de GitHub Actions, no solo hallazgos sobre el workflow.
• Necesita una SBOM de lo que cada build descargó realmente, con un estado de completitud que pueda mostrar a un auditor.
• Quiere monitorización de lo distribuido e historial de builds a partir del mismo registro.

Usar ambos

Las comprobaciones de postura, el escaneo de código y la seguridad en la nube de Wiz Code cubren un terreno que CRACI, por diseño, no toca, así que se quedan donde están. CRACI sustituye el runner, no GitHub Actions: sus workflows y repositorios se quedan en GitHub, de modo que Wiz sigue analizando los mismos archivos de workflow mientras los jobs se ejecutan en CRACI. Además, CRACI ejecuta los builds aproximadamente el doble de rápido que los runners alojados por GitHub, gracias a un hardware más rápido, menos tiempo en cola y la caché, y cobra solo por los minutos de build. Consulte los precios de CRACI.

Para el Cyber Resilience Act

El Cyber Resilience Act es uno de varios marcos que piden una SBOM y un proceso de gestión de vulnerabilidades. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro que necesita un proceso del CRA: SBOM generadas durante el build y exportadas en CycloneDX o SPDX, seguimiento de vulnerabilidades y procedencia mediante la API. Consulte la evidencia para el CRA. Ninguna de las dos herramientas hace que un producto cumpla por sí sola.

Para otras plataformas de este ámbito, consulte CRACI frente a OX Security, CRACI frente a StepSecurity, CRACI frente a Xygeni y herramientas de seguridad de la cadena de suministro de software.

Wiz: preguntas frecuentes

¿Qué es Wiz Code?

Wiz Code es la parte de seguridad del código de la plataforma de seguridad en la nube de Wiz. Escanea el código en busca de dependencias vulnerables, secretos, errores de configuración de IaC, datos sensibles y malware, añade SAST y hallazgos de escáneres de terceros, comprueba la configuración del control de versiones y del CI/CD con benchmarks, y rastrea los riesgos de la nube hasta el código fuente que los causó.

¿Wiz Code protege GitHub Actions?

Wiz Code analiza la configuración de GitHub Actions. Desde abril de 2026 interpreta los archivos YAML de los workflows y modela workflows, jobs, runners y sus relaciones en Wiz Security Graph, señala activadores peligrosos como pull_request_target, abre incidencias por permisos de riesgo o excesivos, hace inventario de las acciones de terceros y señala configuraciones de riesgo de agentes de IA. El anuncio de Wiz no describe el control de lo que un job puede alcanzar mientras se ejecuta. CRACI es el runner, así que aplica una política de egress dentro de cada job.

¿Wiz forma parte de Google?

Sí. Google completó la adquisición de Wiz el 11 de marzo de 2026. Wiz dice que sigue siendo una plataforma multicloud que cubre AWS, Azure, Google Cloud y Oracle Cloud.

¿Cuánto cuesta Wiz?

Wiz no publica precios de catálogo. A septiembre de 2026, su página de precios describe ofertas unificadas y opciones a la carta, con presupuestos a petición. CRACI cobra solo por los minutos de build: $0.002 por vCPU-minuto ($0.004 para un runner de 2 vCPU por defecto), medido por segundo, sin cuota mensual.

¿Puede CRACI sustituir a Wiz Code?

No en su totalidad. CRACI no tiene escaneo SAST, de secretos, de IaC ni de malware, ni comprobaciones de postura de CI/CD, ni seguridad en la nube. Para los builds de GitHub Actions, CRACI añade lo que el análisis de configuración no puede: es el runner, así que registra los paquetes que descargó cada job y aplica una política de egress mientras se ejecuta el job.