CRACI vs Trivy

La réponse courte

Trivy est l'un des outils de sécurité gratuits les plus utiles qui soient. Il scanne les images de conteneurs, les systèmes de fichiers, les dépôts, les images de machines virtuelles et Kubernetes à la recherche de vulnérabilités, d'erreurs de configuration, de secrets et de licences, et il produit des SBOM au passage. CRACI est un runner GitHub Actions qui enregistre ce que chaque build a récupéré, contrôle où le build peut se connecter et continue de suivre les vulnérabilités de ce qui a été livré. La différence fondamentale : Trivy déduit la liste des composants à partir des fichiers, tandis que CRACI l'observe. Pour la SBOM et les vulnérabilités de dépendances des logiciels que vous construisez, CRACI remplace Trivy. Pour le reste de ce que scanne Trivy, choisissez un outil par tâche dans la liste ci-dessous.

Pourquoi les équipes cherchent des alternatives à Trivy

• La compromission de la chaîne d'approvisionnement de mars 2026. L'avis d'Aqua Security (CVE-2026-33634) décrit une release malveillante de Trivy v0.69.4 et des tags trivy-action et setup-trivy empoisonnés le 19 mars 2026, suivis d'images Docker Hub malveillantes le 22 mars. Le code injecté a volé des identifiants sur les runners CI. Aqua a publié les versions sûres et recommande d'épingler les actions sur des SHA de commit complets.
• Un scan n'est pas un suivi. Trivy signale ce qu'il trouve au moment où il s'exécute. Conserver les résultats, les responsables et les statuts d'un dépôt et d'une release à l'autre, et revérifier les logiciels livrés à mesure que de nouveaux avis de sécurité paraissent, reste à votre charge.
• La SBOM est déduite des fichiers. Un scan avant build lit les lockfiles. Lorsqu'un dépôt n'en commite aucun, il y a peu à lire, et les versions que résout une installation réelle se décident au moment du build.
• L'étendue plutôt que la profondeur. Un seul binaire couvre de nombreuses tâches. Les équipes qui ont besoin de plus dans un domaine, comme l'infrastructure as code ou les images de conteneurs, confient souvent cette tâche à un outil dédié.

Chaque scanner que votre pipeline télécharge et exécute fait lui-même partie de votre chaîne d'approvisionnement logicielle et s'exécute à côté des secrets du job. Sur CRACI, le runner enregistre la SBOM : il n'y a donc aucune étape de scanner à télécharger pour les logiciels que vous construisez. La politique de trafic sortant du runner peut limiter les hôtes qu'atteint chaque étape du job, et la trace réseau de chaque job est enregistrée. Épingler les actions sur des SHA de commit, comme le recommande Aqua, vaut aussi sur CRACI.

Les alternatives à Trivy, selon la tâche que Trivy accomplit pour vous

• SBOM et vulnérabilités de dépendances des logiciels que vous construisez : CRACI. Il enregistre la SBOM depuis le build, continue de la réévaluer et envoie les résultats à l'équipe responsable.
• Scan d'images de conteneurs et de systèmes de fichiers : Grype, le scanner de vulnérabilités open source d'Anchore pour les images de conteneurs, les systèmes de fichiers et les SBOM, avec les données EPSS et KEV pour la priorisation. Il s'associe à Syft pour les SBOM. Voir CRACI vs Syft et Grype.
• Infrastructure as code : Checkov scanne Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, les Dockerfiles, Bicep et les templates ARM, et vérifie aussi les secrets et les paquets open source. KICS couvre Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi et d'autres. Tous deux sont open source sous Apache-2.0.
• Secrets : Gitleaks détecte les mots de passe, les clés d'API et les tokens dans les dépôts Git et les fichiers ; il est open source sous MIT.
• Un scanner commercial avec conseils de correction : voir CRACI vs Snyk et le comparatif des outils SCA.

Pour le détail de chaque option, et pour Grype vs Trivy, consultez le guide complet des alternatives à Trivy.

Ce que Trivy fait bien

Trivy se décrit lui-même comme "a comprehensive and versatile security scanner", et c'est exact. Un seul binaire couvre plusieurs tâches qui nécessiteraient sinon des outils distincts :

• De nombreuses cibles. Images de conteneurs, systèmes de fichiers, dépôts Git distants, images de machines virtuelles et Kubernetes.
• De nombreux scanners. Paquets système et dépendances logicielles, vulnérabilités connues, erreurs de configuration de l'infrastructure as code, secrets et licences logicielles.
• Des SBOM en entrée et en sortie. trivy fs --format cyclonedx ou --format spdx-json écrit une SBOM, et trivy sbom scanne une SBOM existante à la recherche de vulnérabilités.
• Il s'exécute partout. Il est open source sous Apache-2.0, fonctionne comme CLI, et dispose d'une GitHub Action et d'un opérateur Kubernetes.

CRACI ne fait aucun scan d'IaC, de secrets ou de clusters. Si vous devez vérifier un plan Terraform, repérer un token commité ou scanner une image tierce que vous n'avez pas construite, Trivy ou l'un des outils ci-dessus est le bon choix.

2:07

Ce qui distingue CRACI

Trivy lit des fichiers ; CRACI observe le build

La documentation de Trivy est claire sur sa méthode : "If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files." Pour une cible après build, comme une image de conteneur, il lit à la place les métadonnées des paquets installés et les binaires. Pour les dépôts Node.js, cela signifie package-lock.json, yarn.lock, pnpm-lock.yaml ou bun.lock.

Cette conception est raisonnable, et elle a une limite prévisible. expressjs/express 5.2.1 ne commite aucun lockfile, et le dépôt anthropics/claude-code n'a aucun manifeste de dépendances : pour un scan avant build de l'un ou de l'autre, Trivy n'a donc rien à lire. Trivy fonctionne alors comme documenté, il n'est pas défaillant. Les versions que résoudrait une installation réelle se décident au moment du build.

CRACI part de l'autre extrémité. Les jobs s'exécutent avec runs-on: craci, et un proxy qui comprend les paquets enregistre ce que le job récupère depuis les sources npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et Git, ainsi que les presets de téléchargement. Les paquets restaurés depuis un cache CI conservent leurs preuves. La SBOM (CycloneDX ou SPDX) décrit ce que le build a réellement utilisé, avec ou sans lockfile.

Il indique quand l'enregistrement est incomplet

Chaque job et chaque cache CRACI ont un état de complétude : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. Une SBOM vide ou maigre est visible comme telle, au lieu de ressembler à celle d'un projet comptant peu de dépendances.

Il contrôle le build

Comme CRACI exécute le job, il peut appliquer une politique de trafic réseau sortant : refus par défaut ou autorisation par défaut, avec 24 presets de sources logicielles intégrés, validée avant le démarrage du job et bloquant tout en cas d'échec. Le contrôle du trafic sortant est hors du périmètre de Trivy. L'API renvoie les SBOM, les traces réseau et la provenance. CRACI ne signe pas la provenance. Pour la signature, la documentation de Trivy montre un flux à deux outils : Trivy écrit la SBOM et Cosign la signe sous forme d'attestation.

Il continue de surveiller

Trivy scanne lorsque vous le lancez. CRACI agrège les vulnérabilités de l'ensemble des builds et des dépôts et continue de réévaluer les SBOM surveillées, et les équipes sécurité peuvent trier les résultats et les envoyer à l'équipe chargée de la correction. Les SBOM des fournisseurs sont surveillées aux côtés de vos propres builds. Les policy gates de CRACI peuvent bloquer un build ; les alertes à seuil figurent sur la roadmap.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée au lieu de le reconstituer à partir de notes de version et de tableurs.

Quitter Trivy

Sur CRACI, il n'y a ni SBOM à générer ni scan de dépendances à maintenir pour les builds que vous livrez. Le runner enregistre la SBOM pendant l'exécution du build, et CRACI continue d'y rechercher les nouvelles vulnérabilités une fois le build terminé.

Soyons clairs sur ce que CRACI ne fait pas. Il ne scanne ni l'infrastructure as code, ni les clusters Kubernetes, ni les images de machines virtuelles, il ne cherche ni secrets ni erreurs de configuration, et il ne scanne pas les images ou logiciels que vous n'avez pas construits. Les alertes à seuil figurent sur la roadmap. Il exécute uniquement GitHub Actions aujourd'hui, et GitLab CI et Jenkins figurent sur la roadmap. Si vous comptez sur Trivy pour l'un de ces points, gardez-le pour cela.

Pour le Cyber Resilience Act

Le CRA demande aux fabricants de documenter les composants de chaque produit, y compris par une SBOM, et de gérer et signaler les vulnérabilités de ce qu'ils livrent. Trivy y contribue en trouvant les vulnérabilités et les erreurs de configuration et en produisant des SBOM, et la piste de preuves de la release à la SBOM est à votre charge. CRACI enregistre la SBOM par build, la relie à l'artefact, exporte les SBOM en CycloneDX ou SPDX et soumet en votre nom les notifications de vulnérabilités prévues par le CRA. Il automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Voir ce qu'est le CRA et la génération de SBOM au build.

CRACI vs Trivy : questions fréquentes

Options gratuites, compromission de mars 2026 et ce que CRACI remplace

Quelle est la meilleure alternative à Trivy ?

Tout dépend de la tâche de Trivy que vous remplacez. Pour les SBOM et les vulnérabilités de dépendances des logiciels que vous construisez avec GitHub Actions, CRACI enregistre la SBOM depuis le build et continue de la suivre. Pour le scan d'images de conteneurs, Grype est un équivalent open source proche. Pour l'infrastructure as code, Checkov et KICS sont des options open source. Pour les secrets, Gitleaks. Aucun outil ne remplace à lui seul tout Trivy.

Existe-t-il une alternative gratuite à Trivy ?

Oui. Grype (images, systèmes de fichiers et SBOM), Checkov et KICS (infrastructure as code) sont open source sous Apache-2.0, et Gitleaks (secrets) est open source sous MIT. CRACI est un produit payant, facturé à la minute de build, sans abonnement mensuel.

Trivy reste-t-il sûr à utiliser après la compromission de mars 2026 ?

L'avis d'Aqua Security (CVE-2026-33634) décrit une release malveillante de Trivy v0.69.4 et des tags trivy-action et setup-trivy empoisonnés le 19 mars 2026, ainsi que des images Docker Hub malveillantes le 22 mars. Aqua liste les versions sûres et recommande de renouveler les secrets susceptibles d'avoir été exposés et d'épingler les GitHub Actions sur des SHA de commit complets. Vérifiez l'avis pour les versions que vous utilisez.

Quelle est la différence entre Trivy et Grype ?

Tous deux sont des scanners open source sous Apache-2.0. Grype se concentre sur les vulnérabilités des images de conteneurs, des systèmes de fichiers et des SBOM, et s'associe à Syft pour la génération de SBOM. Trivy couvre davantage de cibles et de scanners dans un seul binaire, dont l'infrastructure as code, les secrets, les licences, les images de machines virtuelles et Kubernetes.

CRACI peut-il remplacer Trivy ?

Pour la SBOM et les vulnérabilités de dépendances des logiciels que vous construisez sur GitHub Actions, oui : CRACI enregistre la SBOM pendant l'exécution du build et continue de la réévaluer par rapport aux données de vulnérabilités. CRACI ne scanne pas l'infrastructure as code, les clusters Kubernetes, les images de machines virtuelles, les secrets, les erreurs de configuration ni les images que vous n'avez pas construites. Pour cela, gardez Trivy ou un autre scanner.

CRACI scanne-t-il Terraform ou d'autres infrastructures as code ?

Non. CRACI enregistre ce que vos builds récupèrent et suit les vulnérabilités de ce que vous livrez. Pour Terraform et les autres infrastructures as code, utilisez le scanner d'erreurs de configuration de Trivy ou un outil dédié tel que Checkov ou KICS.