CRACI frente a Xygeni

La respuesta corta

Xygeni es una plataforma de seguridad de aplicaciones de Valladolid, España. Se describe como "one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end". Sus módulos cubren SAST, SCA con alcanzabilidad y detección de malware, secretos, IaC, contenedores, seguridad de CI/CD, seguridad del build con atestaciones SLSA e in-toto, detección de anomalías, DAST, seguridad de API y una capa de ASPM. Publica sus precios y tiene un plan gratuito. No ejecuta builds: se conecta a los sistemas de CI que usted ya utiliza.

CRACI compite por el mismo presupuesto de cadena de suministro desde otro lugar. Es el runner para GitHub Actions: registra los paquetes que cada job incorporó realmente, aplica una política de egress mientras se ejecuta el job y sigue monitorizando lo distribuido. Xygeni es mucho más amplio en AppSec; CRACI profundiza más en el build y en lo que salió de él.

De un vistazo

«No indicado» significa que no pudimos confirmarlo en las páginas públicas de Xygeni.

Lo que Xygeni hace bien

• Amplitud en una sola plataforma. SAST con autofix por IA, SCA con alcanzabilidad y pull requests de actualización automáticas, detección de secretos con revocación automática, escaneo de IaC y de imágenes de contenedor y, en Enterprise, DAST, seguridad de API y ASPM con ingesta de datos de terceros.
• Malware en el código abierto. Xygeni dice que analiza miles de paquetes de código abierto nuevos y actualizados cada día, utiliza un motor asistido por ML para detectar malware desconocido, pone en cuarentena los paquetes sospechosos y puede bloquearlos con un firewall de dependencias. Eso va más allá de cotejar CVE.
• Seguridad de CI/CD. Busca errores de configuración en scripts de build y pipelines, aborda los riesgos OWASP Top 10 CI/CD, comprueba ajustes como la protección de ramas y la autenticación multifactor, y señala comandos dañinos en los pipelines, como reverse shells y descargas de malware.
• Atestaciones de build. Build Security añade una línea a un pipeline para reunir evidencia de cada etapa del build y generar procedencia SLSA y atestaciones in-toto, firmadas sin claves. Las atestaciones pueden incluir escaneos de vulnerabilidades, SBOM en SPDX o CycloneDX y resultados de pruebas, y los artefactos manipulados se pueden bloquear antes de la entrega.
• Detección de anomalías. Los sensores para GitHub, GitLab, Jenkins y Azure vigilan cambios no autorizados en el código, las dependencias, los pipelines y la configuración del build, y alertan en tiempo real.
• Amplia cobertura de CI y precios publicados. Xygeni enumera integraciones con GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI y Travis CI, y ofrece despliegue on-premise en Enterprise.

En qué se diferencia CRACI

Registrado desde el build, no leído de descriptores

La documentación de Xygeni dice que sus analizadores procesan los descriptores de dependencias para extraer las dependencias directas e indirectas y resolver sus versiones. Esa es la forma habitual de crear una SBOM a partir de un repositorio. CRACI, en cambio, ve el tráfico que entra en cada build: un proxy que entiende de paquetes registra cada paquete que descargó el job de fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. Los paquetes restaurados desde cachés de CI permanecen en el registro.

Así es como CRACI registra las dependencias ocultas que las herramientas basadas en lockfiles pasan por alto: código descargado por hooks de instalación de npm, scripts de build de Rust que descargan durante el build y las capas de la imagen base de un build de contenedor. Cada SBOM lleva un estado de completitud por job y por caché (Complete, Complete with connections, Incomplete, Unavailable o Not recorded), de modo que, cuando el registro tiene una laguna, lo dice.

Control mientras se ejecuta el build

Las comprobaciones de CI/CD de Xygeni examinan cómo están configurados los pipelines y qué comandos contienen. CRACI limita lo que el build puede alcanzar. Las políticas de egress son de denegación o permiso por defecto, con 24 presets integrados de fuentes de software, fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git, y reglas explícitas de TLS, TCP, UDP e ICMP. Se validan antes de que empiece el job y, si fallan, bloquean. Como una política de denegación por defecto solo permite lo que el build necesita, un paquete comprometido que intente enviar sus secretos a un host desconocido queda bloqueado, incluso en un ataque que nadie haya visto antes, y CRACI le avisa de la infracción.

Procedencia y monitorización a partir de un solo registro

Xygeni firma atestaciones desde un paso añadido al pipeline que usted ejecuta. El registro de CRACI proviene del runner en el que se ejecutó el job: la API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia ni declara ningún nivel de SLSA. CRACI sigue reevaluando las SBOM de lo que usted distribuyó a medida que se publican nuevas vulnerabilidades, y muestra todos los builds anteriores que contenían una dependencia vulnerable, para que sepa cuánto tiempo estuvo expuesto.

El runner forma parte del producto

Como CRACI es el runner, la evidencia viene con el cómputo: las ejecuciones siguen apareciendo en GitHub, y CRACI ejecuta los builds aproximadamente el doble de rápido que los runners alojados por GitHub, gracias a un hardware más rápido, menos tiempo en cola y la caché. CRACI cobra solo por los minutos de build, $0.002 por vCPU-minuto ($0.004 para un runner de 2 vCPU por defecto), medido por segundo, sin cuota mensual ni cargo por SBOM. Consulte los precios de CRACI.

Cuál encaja mejor

Xygeni encaja mejor cuando

• Quiere una sola plataforma de AppSec para SAST, SCA, secretos, IaC, contenedores y configuración de pipelines.
• Quiere detectar y bloquear paquetes de código abierto maliciosos antes de que exista un aviso.
• Compila en GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI o Travis CI.
• Necesita atestaciones SLSA e in-toto, o un despliegue on-premise.
• Un equipo pequeño quiere empezar con un plan gratuito y precios publicados.

CRACI encaja mejor cuando

• Compila en GitHub Actions y quiere el runner, la política de egress y el registro de dependencias en un solo lugar.
• Necesita una SBOM de lo que cada build descargó realmente, con un estado de completitud que pueda mostrar a un auditor.
• Quiere monitorización de lo distribuido e historial de builds a partir del mismo registro.

A qué renuncia al trasladar la evidencia del build a CRACI

Para el software que usted compila en GitHub Actions, CRACI asume el trabajo de la exportación de SBOM de Xygeni: el registro, los datos de procedencia y la monitorización proceden del runner. Para decir con claridad lo que eso cuesta: CRACI no tiene análisis de alcanzabilidad, no detecta nuevos paquetes maliciosos por su comportamiento o reputación (señala las versiones maliciosas conocidas una vez publicado un aviso con CVE), no abre pull requests de actualización, no firma la procedencia, no declara ningún nivel de SLSA, no tiene detección de anomalías en el control de código fuente y hoy solo ejecuta GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.

El SAST, los secretos, la IaC y las comprobaciones de postura de CI/CD de Xygeni cubren un terreno que CRACI, por diseño, no toca, así que pueden quedarse donde están. CRACI sustituye el runner, no GitHub Actions, de modo que un paso de escaneo se ejecuta en un runner de CRACI como cualquier otro paso.

Para el Cyber Resilience Act

El Cyber Resilience Act es uno de varios marcos que piden una SBOM y un proceso de gestión de vulnerabilidades. Xygeni incluye en su plan Business comprobaciones de cumplimiento de la cadena de suministro de software con CIS y OpenSSF. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro que necesita un proceso del CRA: SBOM generadas durante el build y exportadas en CycloneDX o SPDX, seguimiento de vulnerabilidades y procedencia mediante la API. Consulte la evidencia para el CRA. Ninguna de las dos herramientas hace que un producto cumpla por sí sola.

Para otras plataformas de este ámbito, consulte CRACI frente a Cycode, CRACI frente a OX Security, CRACI frente a Wiz y herramientas de seguridad de la cadena de suministro de software.

Xygeni: preguntas frecuentes

¿Qué es Xygeni?

Xygeni es una plataforma de seguridad de aplicaciones de Valladolid, España. Combina sus propios escáneres (SAST, SCA con alcanzabilidad y detección de malware, secretos, IaC, contenedores, seguridad de CI/CD y, opcionalmente, DAST y seguridad de API) con una capa de ASPM, además de seguridad del build con atestaciones SLSA e in-toto y detección de anomalías en el control de código fuente y los sistemas de CI.

¿Cuánto cuesta Xygeni?

A septiembre de 2026, la página de precios de Xygeni muestra un plan gratuito con SAST, SCA, secretos y un plugin de IDE para un máximo de 10 repositorios, 200 escaneos al mes y 5 colaboradores. Team empieza en unos $3,828 (€3,300) al año y Business en unos $6,844 (€5,900) al año, ambos con 10 colaboradores incluidos, y el precio de Enterprise se da mediante presupuesto. Un colaborador es cualquier persona que haya hecho un commit en un repositorio escaneado en los últimos 90 días. Build Security y Anomalies Detection son opciones de Enterprise.

¿Xygeni ofrece runners de CI?

No. Xygeni se integra con los sistemas de CI que usted utiliza, como GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI y Travis CI, y añade sus escáneres y su paso de atestación a sus pipelines. CRACI es el runner: los jobs de GitHub Actions se ejecutan en CRACI, que registra lo que descargó cada job y controla lo que puede alcanzar.

¿Cuál es la diferencia entre Xygeni y CRACI?

Xygeni es una amplia plataforma de AppSec que escanea código, dependencias, secretos, IaC y configuración de pipelines en muchos sistemas de CI. CRACI es un runner de GitHub Actions que registra los paquetes que cada build descargó realmente, aplica una política de egress mientras se ejecuta y sigue monitorizando lo distribuido. Xygeni es mucho más amplio; CRACI registra el propio build.

¿Puede CRACI sustituir a Xygeni?

Para la evidencia del build del software que usted compila en GitHub Actions, sí: la SBOM registrada, la procedencia y la monitorización de vulnerabilidades de CRACI cubren ese trabajo. CRACI no sustituye el SAST, los secretos, la IaC, las comprobaciones de postura de CI/CD, la detección de malware ni el análisis de alcanzabilidad de Xygeni, y hoy solo ejecuta GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.