CRACI vs Manifest

En bref

Manifest (Manifest Cyber) est une plateforme de chaîne d'approvisionnement logicielle construite autour des SBOM. Elle les crée, les importe, les enrichit et les partage pour vos propres produits, les logiciels de vos fournisseurs et vos modèles d'IA. CRACI est un runner GitHub Actions qui enregistre les dépendances que chaque job a réellement récupérées et produit la SBOM à partir de cet enregistrement, avec un état de complétude.

Manifest gère les SBOM qu'on lui fournit ou qu'il génère avec des scanners. CRACI produit la SBOM à partir du build et y suit ensuite les vulnérabilités. Pour les logiciels que vous construisez vous-même, CRACI couvre la CI, la SBOM et le suivi des vulnérabilités : une plateforme de gestion de SBOM distincte n'est donc plus nécessaire.

En un coup d'œil

Ce que Manifest fait bien

• Les logiciels tiers. C'est le point fort le plus net de Manifest. Les fournisseurs envoient directement leurs SBOM via un portail sécurisé, et « when a vendor won't or can't provide an SBOM, Manifest can analyze the binary and generate an SBOM directly from the compiled application. » CRACI n'a pas d'équivalent : il enregistre les builds que vous exécutez.
• Les opérations sur les SBOM. Manifest collecte et fusionne les SBOM, les enrichit de données de vulnérabilité et d'exploitabilité, et transforme les résultats en tickets automatiques, en sollicitations des fournisseurs et en rapports de risque. Il prend en charge SPDX, CycloneDX et VEX.
• La couverture CI. La CLI Manifest peut générer et envoyer des SBOM depuis n'importe quel pipeline CI/CD, avec des configurations documentées pour GitHub Actions, CircleCI, Jenkins et Azure DevOps, ainsi qu'une GitHub App.
• Le risque lié à l'IA. Manifest inventorie les modèles d'IA et les AIBOM aux côtés des logiciels, ce qui convient aux organisations qui encadrent leur adoption de l'IA.
• Les secteurs réglementés. Il fait correspondre ses capacités aux recommandations de la FDA en matière de cybersécurité, à EO 14028, NIST 800-218, UNECE R155 et ISO/SAE 21434, et intervient dans l'automobile, la défense, les dispositifs médicaux, le secteur public et les services financiers.

Ce qui distingue CRACI

Un enregistrement du build, pas un scan du dépôt

La GitHub Action de Manifest génère les SBOM avec un scanner open source. Par défaut, il s'agit de Syft, et elle prend aussi en charge Trivy, cdxgen et d'autres. Ces outils lisent les fichiers et les images qu'on leur indique. CRACI, lui, exécute le job. Vous définissez runs-on sur craci, et un proxy qui comprend les paquets enregistre le trafic vers les sources de paquets pendant le build : npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et les sources Git, ainsi que les presets de téléchargement. Les preuves de dépendances suivent les caches CI : un paquet restauré depuis un cache figure donc toujours dans l'enregistrement.

La différence apparaît dès que les fichiers viennent à manquer. Express 5.2.1 ne versionne aucun lockfile : un générateur lancé sur un checkout propre n'a donc aucune dépendance npm à résoudre et renvoie ce qu'il reconnaît d'autre, comme les GitHub Actions et les fichiers de workflow. Manifest lui-même ne peut pas être comparé de cette manière, pas plus que CRACI, qui enregistre des builds et ne peut pas scanner un répertoire. Ce qu'il faut retenir, c'est que la réponse d'un scan dépend de l'outil, de ses réglages et des fichiers présents, et que chaque décision prise en aval dans une plateforme de gestion hérite de cette réponse.

Un état de complétude sur chaque SBOM

CRACI indique la complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. L'état est transitif à travers les caches : chaque alerte et chaque rapport repose donc sur un inventaire dont les lacunes sont connues.

Contrôle et provenance

Comme CRACI exécute le job, il applique une politique de trafic sortant : refus ou autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées, validée avant le démarrage du job et qui bloque tout en cas d'échec. L'API renvoie les SBOM, les traces réseau et la provenance ; CRACI ne signe pas la provenance.

Surveillance

CRACI réévalue en continu les SBOM surveillées et agrège les vulnérabilités de l'ensemble des builds et des dépôts. CRACI permet aux équipes sécurité de trier les résultats et de les envoyer à la bonne équipe.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée, au lieu de reconstituer l'information à partir de notes de version et de tableurs.

Remplacer Manifest par CRACI

Pour les produits que vous construisez, CRACI fait tout le travail : il exécute le build sur GitHub Actions, en enregistre la SBOM, continue de réévaluer cette SBOM à mesure que de nouvelles vulnérabilités sont publiées, et exporte les preuves. Il n'y a ni scanner à configurer, ni étape d'envoi entre votre pipeline et votre plateforme SBOM.

Sachez précisément à quoi vous renoncez. La force de Manifest, ce sont les logiciels que vous achetez : un portail d'envoi pour les fournisseurs et l'analyse binaire lorsqu'un fournisseur ne fournit pas de SBOM. CRACI peut conserver les SBOM des fournisseurs aux côtés de vos propres builds, mais n'a ni portail fournisseurs ni analyse binaire. Manifest propose aussi des tickets automatiques, inventorie les modèles d'IA et fonctionne avec plusieurs systèmes CI, tandis que CRACI prend en charge GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap. Si les logiciels tiers sont votre principale exposition, Manifest reste le meilleur choix.

Pour le Cyber Resilience Act

Manifest publie des contenus sur le CRA et, à ce sujet, indique qu'il « generates and maintains SBOMs/AIBOMs, links components to vulnerabilities and provenance, automates continuous monitoring and notifications, and produces exportable evidence for CRA conformity. »

Les obligations de signalement du CRA s'appliquent à partir du 11 septembre 2026 : une alerte précoce sous 24 heures pour une vulnérabilité activement exploitée, via la CRA Single Reporting Platform. Ses principales dispositions s'appliquent à partir du 11 décembre 2027. Pour vos propres produits, la question qu'une autorité peut poser est la suivante : comment savez-vous que la SBOM correspond à la release ? La réponse de CRACI, ce sont des preuves issues du build : son API renvoie la SBOM CycloneDX de chaque build, la provenance et la trace réseau du job, et les SBOM s'exportent en CycloneDX ou SPDX.

CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Aucun des deux produits ne rend un fabricant conforme à lui seul. Voir ce qu'exige le CRA et la conformité au CRA avec CRACI.