CRACI vs Safeguard

En bref

Safeguard vend une plateforme de sécurité de la chaîne d'approvisionnement logicielle. Son site indique qu'elle trouve les vulnérabilités, y compris celles qui n'ont pas encore de CVE, les filtre par analyse d'atteignabilité, et que ses modèles d'IA Griffin écrivent le correctif, exécutent votre CI et fusionnent la pull request selon votre politique. Elle génère des SBOM en CycloneDX et SPDX, enregistre la provenance SLSA, fait correspondre les preuves aux cadres de conformité et s'exécute dans le cloud, sur site ou en air-gapped. Elle n'exécute pas de builds : sa CLI s'exécute dans la CI dont vous disposez déjà.

CRACI vise le même budget consacré à la chaîne d'approvisionnement, sous un autre angle. C'est le runner pour GitHub Actions : il enregistre les paquets que chaque job a réellement récupérés, applique une politique de trafic sortant pendant l'exécution du job et continue de surveiller ce qui a été livré. Safeguard couvre plus de terrain autour du code ; CRACI va plus loin sur le build et ce qui en est sorti.

En un coup d'œil

La colonne Safeguard reflète ce qu'indiquent son site et sa documentation, vérifiés le 29 septembre 2026. « Non précisé » signifie que nous n'avons pas pu le confirmer à ces endroits.

Ce que Safeguard fait bien

• Des correctifs, pas seulement des résultats. Safeguard indique que Griffin AI prouve l'atteignabilité, rédige une mise à niveau compatible, exécute votre CI et votre suite de régression dans une branche isolée, et fusionne selon vos policy gates. Chaque plan payant inclut un quota mensuel de pull requests de correctifs.
• L'atteignabilité d'abord. Les résultats sont filtrés sur le code vulnérable que votre application peut réellement atteindre, ce qui raccourcit la file d'attente.
• Au-delà des dépendances. Sa CLI signale aussi les secrets et les erreurs de configuration au format SARIF, qui apparaissent dans l'onglet code scanning de GitHub, et la plateforme décrit le scan du code source, de l'IaC et des conteneurs.
• Des composants durcis. Un annuaire et registre public Gold d'images et de paquets durcis, pour que les équipes puissent partir de composants sans CVE connue.
• Le risque fournisseurs. Un Third Party Risk Manager note les fournisseurs et vérifie les SBOM qu'ils fournissent, et un Portal publie vos SBOM à destination de vos clients.
• L'étendue de la CI, les options de déploiement et un plan gratuit. Sa documentation couvre GitHub Actions, GitLab CI/CD, Jenkins et Azure DevOps. Il propose un déploiement sur site et air-gapped sur son offre Sovereign, publie des prix en libre-service et dispose d'un plan gratuit sans carte bancaire.

Ce qui distingue CRACI

Enregistré à partir du build, pas scanné après coup

La documentation de Safeguard indique que sa CLI exécute Syft et Grype, et qu'il construit les SBOM à partir de dépôts connectés, d'images de conteneur et de manifestes envoyés tels que package.json et requirements.txt. C'est la méthode habituelle pour construire une SBOM : lire les fichiers et en déduire ce qui est entré. CRACI voit au contraire le trafic qui entre dans chaque build. Un proxy qui comprend les paquets enregistre chaque paquet récupéré par le job depuis les sources npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et Git, ainsi que les presets de téléchargement, et les paquets restaurés depuis les caches CI restent dans l'enregistrement.

C'est ainsi que CRACI enregistre les dépendances cachées que les outils fondés sur les lockfiles manquent : le code téléchargé par les hooks d'installation npm, les scripts de build Rust qui récupèrent des éléments au moment du build et les couches d'image de base d'un build de conteneur. Chaque SBOM porte un état de complétude par job et par cache (Complete, Complete with connections, Incomplete, Unavailable ou Not recorded) : lorsque l'enregistrement présente une lacune, il le dit.

Le contrôle pendant l'exécution du build

Un scanner signale ce qu'il trouve après coup. Comme CRACI est le runner, il décide quels hôtes un job peut atteindre pendant son exécution. Les politiques de trafic sortant fonctionnent en refus par défaut ou en autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées ; elles sont validées avant le démarrage du job et bloquent tout en cas d'échec. Avec une politique de refus par défaut, un paquet compromis qui tente d'envoyer vos secrets vers un hôte inconnu est bloqué, même lors d'une attaque jamais vue, et CRACI vous alerte de la violation.

Provenance et surveillance à partir d'un seul enregistrement

Safeguard indique qu'il génère, stocke et vérifie la provenance SLSA. La provenance de CRACI vient du runner sur lequel le job s'est exécuté : l'API renvoie les SBOM, les traces réseau et la provenance. CRACI ne signe pas la provenance et ne revendique aucun niveau SLSA. Il continue de réévaluer les SBOM de ce que vous avez livré à mesure que de nouvelles vulnérabilités sont publiées, et montre chaque build passé qui contenait une dépendance vulnérable : vous savez ainsi combien de temps vous avez été exposé.

Le runner fait partie du produit

Comme CRACI est le runner, les preuves s'accompagnent du calcul : les exécutions apparaissent toujours dans GitHub, et CRACI exécute les builds environ deux fois plus vite que les runners hébergés par GitHub, grâce à un matériel plus rapide, des temps d'attente plus courts et le cache. CRACI ne facture que les minutes de build, $0.002 par minute vCPU ($0.004 pour un runner 2 vCPU par défaut), décompté à la seconde, sans abonnement mensuel ni frais par SBOM. Consultez les tarifs de CRACI.

Lequel choisir

Safeguard convient mieux si

• Vous voulez que des pull requests de correctifs soient écrites, testées et fusionnées pour vous.
• Vous voulez l'analyse d'atteignabilité et les résultats sur les secrets et les erreurs de configuration dans la même plateforme.
• Vos builds s'exécutent sur GitLab, Jenkins ou Azure DevOps.
• Vous avez besoin dès aujourd'hui d'un déploiement sur site ou air-gapped.
• Vous voulez un registre de composants durcis ou une notation du risque fournisseurs à côté de vos SBOM.

CRACI convient mieux si

• Vos builds s'exécutent sur GitHub Actions et vous voulez le runner, la politique de trafic sortant et l'enregistrement des dépendances au même endroit.
• Vous avez besoin d'une SBOM de ce que chaque build a réellement récupéré, avec un état de complétude à présenter à un auditeur.
• Vous voulez la surveillance de ce qui a été livré et l'historique des builds à partir du même enregistrement.

Remplacer Safeguard par CRACI

Pour les logiciels que vous construisez sur GitHub Actions, CRACI prend le relais pour la SBOM et la surveillance : il enregistre la SBOM dans le build avec une complétude indiquée, continue de réévaluer les SBOM surveillées, agrège les résultats de l'ensemble des builds et des dépôts, et permet aux équipes sécurité de les trier et d'envoyer chacun à l'équipe chargée de la correction. Des policy gates peuvent bloquer un build en fonction des résultats, y compris d'une CVE précise.

Soyez au clair sur ce à quoi vous renoncez. CRACI n'ouvre pas de pull requests de correctifs, ne propose pas d'analyse d'atteignabilité, ne recherche ni secrets ni erreurs de configuration, n'offre pas de registre de composants durcis, n'a ni provenance signée ni niveau SLSA, ne détecte pas les nouveaux paquets malveillants par leur comportement (il signale les releases malveillantes connues une fois qu'un avis de sécurité avec une CVE est publié) et n'a aujourd'hui aucune option sur site ou air-gapped. Il n'exécute que GitHub Actions, avec GitLab CI et Jenkins sur la roadmap. Si la remédiation automatisée ou ces options de déploiement comptent plus qu'un enregistrement de ce à partir de quoi chaque release a été construite, Safeguard est le meilleur choix.

Ce qu'il faut vérifier avant d'acheter un outil SBOM

Ces questions valent pour tous les éditeurs de cette catégorie, CRACI compris.

• Comment la SBOM est-elle produite ? Demandez quel outil la génère et à partir de quoi : lockfiles et manifestes, scan de l'image finie ou enregistrement du build. Exécutez-le ensuite sur l'un de vos propres builds et comparez les listes de composants, dépendances transitives comprises.
• Vérifiez les certifications auprès de l'émetteur. Un certificat ou une autorisation peut être confirmé auprès de l'organisme qui l'a délivré, et être « conçu pour » un cadre ou « aligné sur » lui n'équivaut pas à le détenir. La page sécurité de Safeguard décrit son architecture comme conçue pour FedRAMP High et IL5 et son audit SOC 2 Type II comme en cours ; conformément à cette formulation, Safeguard ne figurait pas sur le FedRAMP Marketplace lorsque nous avons vérifié le 29 septembre 2026. CRACI détient la certification ISO/IEC 27001 délivrée par Into Certification, avec des détails dans son Trust Center.
• Demandez des références. Le site de Safeguard décrit ses clients de façon anonyme, sous NDA. Quel que soit l'éditeur envisagé, CRACI compris, demandez un appel de référence avec une équipe comparable à la vôtre.
• Faites confirmer le prix par écrit. Les prix publiés changent. La page de tarifs de Safeguard précise que ses chiffres sont proposés en attente de validation finale.

Exigences relatives aux SBOM

Plusieurs cadres demandent une SBOM et un moyen d'en gérer les vulnérabilités : l'Executive Order 14028 américain oriente les recommandations d'achat fédérales autour des SBOM, la section 524B de la FDA en exige une pour les cyber devices, et le Cyber Resilience Act de l'UE demande aux fabricants de documenter leurs composants. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement et des preuves dont ces démarches ont besoin : SBOM de build exportées en CycloneDX ou SPDX, suivi des vulnérabilités et provenance via l'API. Voir les preuves pour le CRA. Aucun des deux outils ne rend un produit conforme à lui seul.

Pour d'autres outils de ce domaine, voir CRACI vs Anchore, CRACI vs Syft et Grype et le comparatif des outils SBOM.

Safeguard : vos questions, nos réponses

Qu'est-ce que Safeguard ?

Safeguard (Safeguard.sh Inc, Dublin, Californie, selon son site) vend une plateforme de sécurité de la chaîne d'approvisionnement logicielle. Son site décrit la génération de SBOM en CycloneDX et SPDX, la provenance SLSA, l'analyse d'atteignabilité, des pull requests de correctifs rédigées par IA avec ses modèles Griffin, la gestion du risque tiers, un registre de composants durcis et le déploiement dans le cloud, sur site ou en air-gapped.

Comment Safeguard génère-t-il des SBOM ?

Selon sa documentation, Safeguard construit les SBOM à partir de dépôts connectés, d'images de conteneur et de manifestes de paquets envoyés, et sa CLI (safeguard scan) exécute Syft et Grype dans votre pipeline. Sa comparaison avec Anchore indique que sa SBOM est en CycloneDX et SPDX « via Syft ». CRACI ne scanne pas : il exécute le build et enregistre les paquets que chaque job a récupérés.

Safeguard fournit-il des runners CI ?

Non. La documentation CI de Safeguard montre sa CLI s'exécutant dans des pipelines GitHub Actions, GitLab CI/CD, Jenkins et Azure DevOps que vous exploitez, et précise que la CLI signale les résultats sans faire échouer le build ; l'application des règles se fait dans les policy gates de la plateforme. CRACI est le runner : les jobs GitHub Actions s'exécutent sur CRACI, qui enregistre ce que chaque job a récupéré et contrôle ce qu'il peut atteindre.

Combien coûte Safeguard ?

En septembre 2026, la page de tarifs de Safeguard affiche un plan gratuit avec 5 pull requests de correctifs, 100 composants scannés et 100 appels d'outils MCP par mois ; des plans individuels à $9, $25, $49 et $99 par mois ; des plans Team à $19, $49 et $99 par utilisateur et par mois, avec un minimum de deux utilisateurs ; et Business, Enterprise et Sovereign sur devis. Les compliance packs coûtent $2,099 par cadre et par an. La page précise que ses chiffres sont proposés en attente de validation finale : confirmez donc les prix actuels auprès de Safeguard. CRACI ne facture que les minutes de build : $0.002 par minute vCPU ($0.004 pour un runner 2 vCPU par défaut), décompté à la seconde.

CRACI peut-il remplacer Safeguard ?

Pour les SBOM, la provenance et la surveillance des vulnérabilités des logiciels que vous construisez sur GitHub Actions, oui : CRACI produit la SBOM à partir du build lui-même et continue de la surveiller. CRACI ne remplace pas les pull requests de correctifs par IA de Safeguard, son analyse d'atteignabilité, sa détection des secrets et des erreurs de configuration, son registre de composants durcis ni son déploiement air-gapped, et il n'exécute aujourd'hui que GitHub Actions, avec GitLab CI et Jenkins sur la roadmap.