CRACI vs. Wiz

Lyhyt vastaus

Wiz on pilviturvallisuusalusta ja 11.3.2026 lähtien osa Googlea. Wiz Code on sen koodin tietoturvatuote: se skannaa koodin, riippuvuudet, salaisuudet ja IaC:n, tarkistaa versionhallinnan ja CI/CD:n asetukset ja yhdistää löydöksensä pilviresursseihin, joissa koodi lopulta ajetaan. Huhtikuussa 2026 Wiz laajensi Wiz Coden GitHub Actionsiin: se jäsentää nyt työnkulkutiedostot, mallintaa työnkulut, jobit ja runnerit Security Graphiinsa ja liputtaa riskialttiit laukaisimet, oikeudet, kolmannen osapuolen actionit ja tekoälyagenttien määritykset.

Se on määritysten analyysiä: se kertoo, mitä työnkulkuja voitaisiin käyttää väärin. CRACI toimii kerrosta alempana. Se on GitHub Actionsin runneri, joten se tallentaa paketit, jotka kukin jobi todella haki, panee egress-käytännön täytäntöön jobin ajon aikana ja valvoo jatkuvasti sitä, mitä toimitettiin. Wiz kattaa paljon laajemman alueen koodista pilveen; CRACI kattaa sen, mitä buildin sisällä tapahtuu.

Yhdellä silmäyksellä

”Ei mainittu” tarkoittaa, ettemme pystyneet vahvistamaan asiaa Wizin julkisilta sivuilta.

Missä Wiz on hyvä

Koodista pilveen

• Pilven konteksti. Wizin ydin on pilviturvallisuus AWS:ssä, Azuressa, Google Cloudissa ja Oracle Cloudissa. Se skannaa virtuaalikoneet, kontit ja serverless-funktiot ilman agentteja ja järjestää haavoittuvuudet Security Graphin kontekstin avulla: verkkoaltistus, identiteetit, tietojen arkaluonteisuus ja hyökkäyspolut.
• Koodista pilveen -kartoitus. Wiz Code jäljittää pilvestä löydetyn riskin lähdekoodiin, joka sen tuotti, ja ehdottaa korjausta siihen koodiin. Wiziä jo käyttävällä tiimillä koodin löydökset päätyvät samaan graafiin kuin kaikki muu.
• Skannaus yhdessä paikassa. SCA ja SBOM suorille ja transitiivisille riippuvuuksille, IaC-skannaus Terraformille, CloudFormationille, Azure Resource Managerille, Kubernetesille ja Dockerille yli 1 000 säännöllä, salaisuudet koodista, IaC-malleista ja konttikuvista, arkaluonteiset tiedot, kuten PII ja PHI, sekä koodikannan haittaohjelmaskannaus ”ennen kuin se päätyy CI-runnereillesi”. Wiz SAST ja kolmannen osapuolen skannerien löydökset täydentävät kuvan.

GitHub Actions ja CI/CD:n tietoturvatila

• Työnkulut graafissa. Wiz jäsentää GitHub Actions -työnkulkujen YAML:n ja mallintaa työnkulut, jobit, runnerit ja niiden suhteet, joten putkesta tulee kyselyillä tutkittava resurssi, jonka kontekstista näkyy, mikä sen laukaisee ja mihin se pääsee.
• Riskialttiit määritykset. Se liputtaa vaaralliset laukaisimet, kuten pull_request_target, analysoi työnkulkutiedostoissa määritellyt oikeudet ja nostaa esiin riskialttiit tai liian laajat, tuo esiin riskialttiit syötteet ja mahdolliset salaisuusvuodot putkien määrityksissä, inventoi kunkin työnkulun käyttämät kolmannen osapuolen actionit ja liputtaa työnkulkujen tekoälyagentit, jotka ovat alttiita prompt injectionille.
• Vertailukohdat. Wiz Code tarkistaa versionhallinta- ja CI/CD-järjestelmät virhemääritysten ja turvattomien oletusten varalta OpenSSF Best Practicesin, OWASP Top 10 CI/CD Risksin sekä GitHubin ja GitLabin CIS-vertailukohtien avulla.
• Uhkien havaitseminen. Wiz kerää versionhallinta- ja CI/CD-alustojen audit-lokit havaitakseen tapahtumia, kuten epäilyttävän kloonauksen tai poistetun haaransuojaussäännön, ja sen Sensor itse ylläpidetyillä CI-runnereilla voi havaita epäilyttävää toimintaa, kuten runnerin yhteyden kryptolouhintaan liittyvään verkkotunnukseen.

Missä CRACI eroaa

Täytäntöönpano jobin sisällä, ei löydöksiä siitä

Wizin julkistus kuvaa inventaariota, analyysiä ja löydöksiä. Se ei kuvaa sen hallitsemista, mihin jobi pääsee ajon aikana. CRACI:n egress-käytäntö on osa runneria. Käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja niissä on 24 valmista ohjelmistolähteiden esiasetusta, tyypitetyt omat lähteet npm:lle, PyPI:lle, apt:lle, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille sekä eksplisiittiset TLS-, TCP-, UDP- ja ICMP-säännöt. Ne validoidaan ennen jobin alkua, ne noudattavat fail closed -periaatetta, ja CRACI hälyttää rikkomuksesta.

Tällä on merkitystä, koska toimitusketjuhyökkäykset ajetaan jobeissa, jotka näyttävät oikein määritetyiltä. Wizin oma tutkimus Shai-Huludin toisesta aallosta havaitsi, että useimmat tartunnat ajettiin CI/CD-putkissa. Tietoturvatilan löydös voi kertoa, että työnkulku on altis; se ei voi pysäyttää jo ajossa olevaa vaarantunutta pakettia. Oletuksena estävällä käytännöllä yhteys palvelimeen, jota buildi ei tarvitse, estetään, myös hyökkäyksessä, jota kukaan ei ole ennen nähnyt.

Mitä buildi haki, ei mitä koodi ilmoittaa

Wiz Coden SCA skannaa koodisi riippuvuudet, ja sen agentittomat SBOM:t kuvaavat pilvikuormia. CRACI näkee jokaiseen buildiin tulevan liikenteen: paketit tunnistava välityspalvelin (proxy) tallentaa jokaisen paketin, jonka jobi haki npm:stä, PyPI:stä, RubyGemsistä, Composerista, Cargosta, Go:sta, Nixistä, OCI:sta, apt:sta, apk:sta ja Git-lähteistä sekä latausesiasetuksilla, myös CI-välimuistista palautetut paketit. Näin CRACI tallentaa piilossa olevat riippuvuudet, jotka lukitustiedostoihin (lockfile) perustuvilta työkaluilta jäävät huomaamatta, kuten npm install -koukkujen lataaman koodin tai konttibuildin pohjakuvan kerrokset. Myös työnkulun ajamat GitHub Actionsit ovat SBOM:ssa käytettyyn committiin kiinnitettyinä. Jokaisella SBOM:lla on kattavuustila jobi- ja välimuistikohtaisesti, joten kun kirjauksessa on aukko, se kertoo sen.

Näyttö buildista

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja eikä väitä mitään SLSA-tasoa. CRACI arvioi toimittamiesi julkaisujen SBOM:eja jatkuvasti uudelleen, kun uusia haavoittuvuuksia julkaistaan, ja näyttää jokaisen aiemman buildin, joka sisälsi haavoittuvan riippuvuuden, joten tiedät, kuinka kauan olit alttiina.

Missä Wiz on edellä

Suoraan sanottuna: CRACI:ssa ei ole SAST-, salaisuus-, IaC- eikä haittaohjelmaskannausta, CI/CD-tietoturvatilan tarkistuksia, prosessien valvontaa runnereilla, pilviturvallisuutta eikä koodista pilveen -kartoitusta. Se tukee toistaiseksi vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Jos tärkeintä on yksi näkymä riskeihin koodista pilveen, Wiz kattaa paljon enemmän.

Kumpi sopii

Wiz sopii paremmin, kun

• käytät jo Wiziä pilviturvallisuuteen ja haluat koodin ja putkien riskit samaan graafiin.
• haluat löytää riskialttiit työnkulkujen laukaisimet, oikeudet ja kolmannen osapuolen actionit monista repositorioista.
• tarvitset SAST-, salaisuus-, IaC- ja haittaohjelmaskannausta pilven kontekstilla priorisointia varten.
• ajat itse ylläpidettyjä runnereita ja haluat niille uhkien havaitsemisen.

CRACI sopii paremmin, kun

• haluat egress-käytännön täytäntöön jokaisen GitHub Actions -jobin sisällä etkä pelkkiä löydöksiä työnkulusta.
• tarvitset SBOM:n siitä, mitä kukin buildi todella haki, ja kattavuustilan, jonka voit näyttää auditoijalle.
• haluat toimitetun valvonnan ja buildihistorian samasta kirjauksesta.

Molempien käyttö

Wiz Coden tietoturvatilan tarkistukset, koodiskannaus ja pilviturvallisuus kattavat alueita, joihin CRACI ei suunnitellusti koske, joten ne pysyvät paikallaan. CRACI korvaa runnerin, ei GitHub Actionsia: työnkulkusi ja repositoriosi pysyvät GitHubissa, joten Wiz analysoi edelleen samoja työnkulkutiedostoja, kun jobit ajetaan CRACI:ssa. CRACI myös ajaa buildit noin kaksi kertaa nopeammin kuin GitHubin ylläpitämät runnerit nopeamman laitteiston, lyhyempien jonotusaikojen ja välimuistin ansiosta ja veloittaa vain build-minuuteista. Katso CRACI:n hinnoittelu.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) on yksi monista kehyksistä, jotka edellyttävät SBOM:ia ja haavoittuvuuksien käsittelyprosessia. CRACI automatisoi merkittävän osan siitä toimitusketjun näkyvyydestä ja näytöstä, jota CRA-prosessi tarvitsee: buildin aikana tallennetut SBOM:t CycloneDX- tai SPDX-muodossa, haavoittuvuuksien seurannan ja alkuperätiedot API:n kautta. Katso CRA-näyttö. Kumpikaan työkalu ei yksinään tee tuotteesta vaatimustenmukaista.

Muita tämän alan alustoja: CRACI vs. OX Security, CRACI vs. StepSecurity, CRACI vs. Xygeni ja ohjelmistotoimitusketjun tietoturvatyökalut.

Kysymyksiä Wizistä

Mikä on Wiz Code?

Wiz Code on Wizin pilviturvallisuusalustan koodin tietoturvaosa. Se skannaa koodista haavoittuvat riippuvuudet, salaisuudet, IaC-virhemääritykset, arkaluonteiset tiedot ja haittaohjelmat, lisää SAST:n ja kolmannen osapuolen skannerien löydökset, tarkistaa versionhallinnan ja CI/CD:n asetukset vertailukohtia vasten ja jäljittää pilven riskit lähdekoodiin, joka ne aiheutti.

Suojaako Wiz Code GitHub Actionsin?

Wiz Code analysoi GitHub Actionsin määrityksiä. Huhtikuusta 2026 lähtien se jäsentää työnkulkujen YAML-tiedostot ja mallintaa työnkulut, jobit, runnerit ja niiden suhteet Wiz Security Graphiin, liputtaa vaaralliset laukaisimet, kuten pull_request_target, nostaa esiin riskialttiit tai liian laajat oikeudet, inventoi kolmannen osapuolen actionit ja liputtaa riskialttiit tekoälyagenttien asetukset. Wizin julkistus ei kuvaa sen hallitsemista, mihin jobi pääsee ajon aikana. CRACI on runneri, joten se panee egress-käytännön täytäntöön jokaisen jobin sisällä.

Onko Wiz osa Googlea?

Kyllä. Google sai Wizin yrityskaupan päätökseen 11.3.2026. Wizin mukaan se on edelleen monipilvialusta, joka kattaa AWS:n, Azuren, Google Cloudin ja Oracle Cloudin.

Paljonko Wiz maksaa?

Wiz ei julkaise listahintoja. Syyskuussa 2026 sen hinnoittelusivu kuvaa yhdistettyjä tarjoomia ja à la carte -vaihtoehtoja, ja tarjoukset saa pyynnöstä. CRACI veloittaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletusarvoisella 2 vCPU:n runnerilla), mitataan sekunnin tarkkuudella, ei kuukausimaksua.

Voiko CRACI korvata Wiz Coden?

Ei kokonaan. CRACI:ssa ei ole SAST-, salaisuus-, IaC- eikä haittaohjelmaskannausta, CI/CD-tietoturvatilan tarkistuksia eikä pilviturvallisuutta. GitHub Actions -buildeihin CRACI tuo sen, mihin määritysten analyysi ei pysty: se on runneri, joten se tallentaa paketit, jotka kukin jobi haki, ja panee egress-käytännön täytäntöön jobin ajon aikana.