CRACI vs Cybellum | Plateforme PSIRT et preuves de build

La réponse courte

Cybellum est une plateforme de sécurité produit destinée aux fabricants d'appareils des secteurs automobile, médical et industriel. Elle analyse les binaires de firmware, les fusionne avec le code source et les SBOM des fournisseurs, compare le résultat aux données de vulnérabilités, et accompagne le travail d'un PSIRT après le lancement : surveillance, tri, enquêtes et preuves réglementaires. CRACI est un runner GitHub Actions qui enregistre ce que chaque build récupère pendant son exécution, produit la SBOM à partir de cet enregistrement, et continue de la surveiller.

La première question de chaque dossier PSIRT est de savoir quels produits et quelles versions contiennent le composant vulnérable. Cybellum y répond en analysant ce que vous livrez, quelle qu'en soit l'origine. CRACI y répond à partir d'un enregistrement de ce que vos propres builds ont réellement récupéré. Pour les logiciels que vous construisez dans GitHub Actions, CRACI couvre lui-même l'inventaire, la surveillance et le tri. Pour les firmwares que vous recevez sous forme binaire, Cybellum couvre un terrain que CRACI ne couvre pas.

En un coup d'œil

Fonctionnalité	CRACI	Cybellum
Exécute vos builds CI	Les jobs s'exécutent sur des runners CRACI	Travaille à partir des binaires, du code source et des SBOM
Enregistre ce que le build a récupéré	Observé par le runner pendant chaque job	Fusionne les scans de binaires, le code source et les SBOM téléversées
Analyse les binaires de firmware		Cyber Digital Twins construits à partir des binaires
Fonctionne sur un firmware que vous n'avez pas construit	Le build doit s'exécuter sur CRACI	Code source facultatif
Résultats au-delà des CVE connues		Zero-days, malwares et faiblesses de code
Importe les SBOM des fournisseurs	Les SBOM des fournisseurs peuvent être ajoutées	SPDX, CycloneDX ou CSV de CPE
SBOM en CycloneDX et SPDX	Issue du build, avec un état de complétude	Fusionnée, dédoublonnée et validée
Surveillance après la mise en production	Réévalue en continu les SBOM surveillées	Nouvelles versions, branches et appareils en production
Produits concernés par une nouvelle CVE	Historique des builds et vue d'inventaire	Produits et composants concernés
Tri et VEX	Tri, routage vers les équipes et VEX	Assistant de tri par IA ; rapports VEX
Politique de trafic sortant pendant le build	Vérifiée avant le job, bloque tout en cas d'échec	Hors de son périmètre
Modèles et rapports réglementaires	SBOM en CycloneDX ou SPDX, enregistrements via l'API ; pas d'export de rapport	FDA PMA, ISO 21434, EU CRA et plus de 50 normes
Déploiement	Runners managés sur une infrastructure européenne ; runners hébergés par le client sur la roadmap.	Cloud public ou votre propre datacenter.
Systèmes CI	GitHub Actions aujourd'hui ; GitLab CI et Jenkins sur la roadmap	Intégrations présentées pour GitLab, Jenkins et Bamboo, ainsi que webhooks et API
Tarifs	Paiement à la minute de build, sans abonnement mensuel	Non précisé

Inclus
En partie
Non inclus

Les points forts de Cybellum

La page d'accueil de Cybellum — cybellum.com

L'analyse du binaire. Les Cyber Digital Twins de Cybellum « peuvent être extraits des fichiers binaires de n'importe quel produit ou composant ». La plateforme analyse les binaires de firmware de chaque produit pour révéler « la SBOM, l'historique des versions, les licences, l'architecture matérielle, les configurations du système d'exploitation, et plus encore », et ne demande qu'en complément : « Vous avez aussi le code source ? » Cela compte lorsqu'une grande partie d'un véhicule ou d'un dispositif médical exécute du code de fournisseurs dont vous ne voyez jamais les builds.

Une seule SBOM à partir de nombreuses sources. Cybellum combine « les données des scanners de binaires, du code source et de sources SBOM externes aux formats SPDX, CycloneDX ou CSV de CPE », dédoublonne les paquets identiques, et permet aux équipes de corriger automatiquement, de valider et d'approuver les SBOM de n'importe quel produit, version ou branche avant de les partager en SPDX ou CycloneDX.

Des résultats au-delà des CVE connues. Sa base de données de vulnérabilités combine des flux publics et privés, l'EPSS et des résultats de recherche, et Cybellum ajoute « des moteurs intégrés de détection des malwares et des faiblesses de code ». Les équipes peuvent importer des modèles de menaces, des TARA, des résultats de fuzzing et de tests d'intrusion, puis trier avec un assistant d'IA, le VM CoPilot.

Conçu pour le travail d'un PSIRT. Son module de réponse aux incidents permet à une équipe de « voir précisément quels produits ou composants sont concernés par une nouvelle vulnérabilité ou réglementation », lui fournit « un espace de travail pour créer et gérer des enquêtes », ouvre des tickets, et partage le statut des vulnérabilités « via des rapports VEX/CSAF selon les besoins ».

Les preuves réglementaires. Cybellum gère les preuves pour « FDA PMA, ISO 21434, le CRA ainsi que vos propres cadres de politiques personnalisés », avec des exigences préalablement mises en correspondance issues de « plus de 50 normes, réglementations et bonnes pratiques ». Il fonctionne sur des clouds publics ou dans votre propre datacenter. LG Electronics a acquis une participation majoritaire dans Cybellum en 2021, et Cybellum continue d'exister comme marque à part entière.

Ce qui distingue CRACI

Cybellum part des artefacts : l'image de firmware, l'arborescence des sources, la SBOM envoyée par un fournisseur. CRACI part du build lui-même, car le build s'exécute sur CRACI.

Observé, pas déduit

Vous remplacez runs-on par craci et le job s'exécute dans une machine virtuelle isolée sur un runner CRACI. Un proxy qui comprend les paquets enregistre ce que le job télécharge depuis les sources de paquets, et les paquets restaurés depuis les caches CI sont reportés. Chaque SBOM indique son niveau de complétude, par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. Les équipes firmware peuvent exécuter Yocto sur des runners allant jusqu'à 32 vCPU et 96 Go de RAM. Lors d'un build comparatif de core-image-sato, la SBOM de CRACI contenait chaque composant de la sortie SPDX propre à Yocto, 88 de plus, comme les paquets de l'hôte et les GitHub Actions, et une package URL pour chacune des 653 versions de crates Rust que Yocto liste sans en fournir.

Les builds et les produits qu'une CVE a atteints

CRACI conserve chaque build passé avec sa SBOM : lorsqu'un avis de sécurité paraît, vous voyez quels builds contenaient la dépendance vulnérable, directe ou transitive, et depuis combien de temps, dans la limite de votre période de conservation. Sa vue d'inventaire montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. CRACI réévalue en continu les SBOM surveillées, prend en charge VEX, et permet aux équipes sécurité de trier les résultats et d'envoyer chacun à l'équipe chargée de la correction. Vous pouvez ajouter les SBOM de vos fournisseurs, afin que les composants achetés soient surveillés à côté de vos propres builds.

Du contrôle pendant le build

Un scan du résultat ne peut pas changer ce que le build a pu joindre. La politique de trafic sortant de CRACI, si : elle fonctionne en refus ou en autorisation par défaut, est validée avant le démarrage du job, bloque tout en cas d'échec et envoie une alerte en cas de violation. Des garde-fous de politique peuvent aussi arrêter un build qui contient une CVE précise.

Ce à quoi vous renoncez avec CRACI

CRACI n'analyse pas les binaires : il ne peut donc pas vous dire ce que contient un blob fournisseur téléchargé par votre build, seulement que le build l'a récupéré et d'où. Il ne recherche pas de zero-days, le scan du code source à la recherche de faiblesses de code sort de son périmètre, et il n'offre ni contrôles guidés au regard de normes ni export de rapports. Il ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap, et fonctionne sous forme de runners managés sur une infrastructure européenne, avec des runners hébergés par le client sur la roadmap.

Quand utiliser lequel

L'essentiel de votre firmware vous parvient de fournisseurs sous forme binaire. Cybellum. L'analyse du binaire est le moyen d'en voir l'intérieur.
Vous construisez vos propres logiciels et images dans GitHub Actions. CRACI exécute le build, enregistre ses entrées et suit les vulnérabilités de ce qu'il a enregistré : l'inventaire du PSIRT vient donc du build lui-même.
Vous avez besoin de preuves pour des dossiers réglementaires automobiles ou médicaux. Cybellum propose des modèles réglementaires pour FDA PMA, ISO 21434 et l'EU CRA. CRACI exporte les SBOM en CycloneDX ou SPDX, et son API renvoie les SBOM, les traces réseau et la provenance, pour votre démarche plus large.
Vous voulez limiter ce que les builds peuvent télécharger. CRACI. Ce contrôle n'existe que là où le build s'exécute.

Pour le CRA

Le Cyber Resilience Act demande aux fabricants de recenser et de documenter les composants de leurs produits, notamment au moyen d'une SBOM, de gérer les vulnérabilités pendant toute la période de support et, à partir de septembre 2026, de signaler les vulnérabilités activement exploitées. Cybellum aide avec des modèles et des preuves pour le CRA sur l'ensemble des produits et des fournisseurs. CRACI aide en produisant, pour chaque build, des preuves de ce qui est entré dans les logiciels que vous construisez, avec une surveillance continue et l'export des SBOM en CycloneDX ou SPDX, et il soumet en votre nom les notifications prévues par le CRA. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les fabricants ont besoin pour leur démarche plus large de conformité au CRA ; il ne rend pas un produit conforme à lui seul. Lire ce qu'exige le CRA.

Exécuter vos builds sur CRACI

Faites pointer votre job de build vers runs-on: craci : le même workflow continue de s'exécuter dans GitHub Actions pendant que CRACI l'enregistre. Pour Yocto, l'exemple de la documentation CRACI présente un workflow BitBake complet. Découvrez comment CRACI fonctionne pour l'IoT industriel et l'électronique grand public.

Nouveau dans le rôle ? Lisez ce que fait un PSIRT et CRACI pour les équipes PSIRT. Vous comparez plus de deux outils ? Consultez le comparatif des outils PSIRT et Alternatives à Cybellum.