CRACI vs Apiiro

La risposta breve

Apiiro è una piattaforma di application security posture management (ASPM). La sua Deep Code Analysis mappa l'architettura del Suo software dal codice al runtime, e il suo Risk Graph correla i risultati degli scanner di Apiiro e di strumenti di terze parti. Il suo modulo di software supply chain security (SSCS) crea l'inventario di repository e pipeline e segnala rischi come una protezione debole dei branch, configurazioni errate delle pipeline e commit anomali.

CRACI compete per lo stesso budget "proteggere la nostra software supply chain" da una posizione diversa: esegue i Suoi job GitHub Actions. Apiiro ragiona su ciò che il Suo codice e la configurazione delle pipeline dicono che accadrà. CRACI registra ciò che la build ha fatto, ne controlla l'egress di rete e continua a sorvegliare ciò che Lei ha rilasciato. Un grande programma AppSec può usarli entrambi. Un team il cui primo bisogno sono le evidenze di ciò che è entrato in ogni release può partire da CRACI.

In sintesi

Che cosa fa bene Apiiro

• Contesto architetturale senza modifiche alla CI. Apiiro si collega al Suo sistema di gestione del codice sorgente tramite un'integrazione API e dichiara di non richiedere configurazione né manutenzione della CI/CD. La Deep Code Analysis mappa poi API, dati sensibili, framework di GenAI e ownership del codice, con aggiornamento a ogni commit e a ogni modifica rilevante.
• Sicurezza per la programmazione con l'IA. Guardian Agent, lanciato a gennaio 2026, lavora con gli assistenti di programmazione IA e aggiunge ai prompt degli sviluppatori linee guida di sicurezza tratte dai Suoi threat model, dalle policy di conformità e dall'architettura, così l'assistente viene allontanato dal codice vulnerabile prima di scriverlo. AI Threat Modeling è seguito a marzo 2026.
• Ampiezza. Apiiro elenca AI SAST nativo, AI SCA, SSCS, secret, infrastructure as code, sicurezza delle API nel codice, DSPM per il codice e threat modeling con l'IA. CRACI non esegue nessuna delle scansioni del codice di questo elenco.
• Prioritizzazione. Il Risk Graph acquisisce, deduplica e correla i risultati, quindi li concatena in "toxic combination". L'esempio di Apiiro: un repository che contiene PII, compilato da una pipeline vulnerabile, che riceve commit su un branch senza revisori obbligatori. Tre risultati di gravità media diventano un unico rischio critico.
• Inventario della software factory. SSCS crea l'inventario di repository e pipeline CI/CD, comprese le shadow pipeline, con contributori, permessi, plugin e dipendenze. Monitora le vulnerabilità delle dipendenze delle pipeline lungo tutto il loro ciclo di vita, e i guardrail possono bloccare commit e merge rischiosi.
• Analisi delle dipendenze e correzioni. AI SCA verifica se una funzione vulnerabile viene effettivamente chiamata, associa le dipendenze ai container distribuiti e agli endpoint pubblici, rileva i pacchetti dannosi e applica le policy sulle licenze. AutoFix propone aggiornamenti di versione che, secondo Apiiro, sono preconvalidati per la compatibilità delle API.
• Integrazioni. GitHub, GitLab, Azure DevOps, Bitbucket e Perforce sul lato del controllo sorgente, Jenkins e GitHub Actions per la postura delle pipeline, e un lungo elenco di scanner, registry e strumenti di ticketing.

In che cosa CRACI è diverso

La build è la fonte di verità

La XBOM di Apiiro viene creata analizzando il codice: ogni pacchetto, API, modello di IA e licenza, aggiornata a ogni modifica del codice. È un quadro solido di ciò che il Suo codice dichiara e usa. Spesso una build fa più di quanto dica il codice. Esegue script di installazione, scarica toolchain, ripristina cache, scarica immagini base e binari di release.

CRACI vede questa attività perché è il runner. Durante l'esecuzione del job, un proxy che riconosce i pacchetti osserva il traffico verso le sorgenti di pacchetti npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache viene contabilizzato. Ogni SBOM riporta uno stato di completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Lei sa quando il record presenta una lacuna.

Controllo sul runner, non solo postura

Apiiro Le segnala quando una pipeline è configurata male o esposta a manomissioni. CRACI limita ciò che una build può raggiungere mentre è in esecuzione. Le policy di egress sono a negazione o ad autorizzazione predefinita, con 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git, e regole esplicite TLS, TCP, UDP e ICMP. Vengono convalidate prima dell'avvio del job, operano in modalità fail closed e CRACI può avvisarLa in caso di violazione.

Evidenze di build tramite l'API

L'API restituisce SBOM, tracce di rete e provenance.

Dopo il rilascio

CRACI continua a rivalutare le SBOM di ciò che Lei ha rilasciato man mano che vengono pubblicate nuove vulnerabilità, e aggrega i risultati di tutte le build e di tutti i repository.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra con precisione quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei vede quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Dove Apiiro è più avanti

Per essere chiari: CRACI non offre scansione SAST, dei secret, IaC o di sicurezza delle API, non acquisisce i risultati di altri scanner, non verifica la protezione dei branch né i permessi dei repository e oggi supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. CRACI blocca invece le build tramite policy gate e applica le policy sulle licenze. Se ha bisogno di un'unica piattaforma che stabilisca le priorità del rischio su tutto il Suo codice, Apiiro copre molto più terreno.

Quale scegliere

Apiiro è la scelta migliore se

• Desidera un'unica piattaforma ASPM per molti scanner, repository e sistemi SCM.
• La Sua priorità è il contesto architetturale: quale codice è esposto su internet, gestisce PII o è cambiato in modo rilevante.
• Ha bisogno della postura di repository e pipeline su GitLab, Azure DevOps, Bitbucket o Jenkins.

CRACI è la scelta migliore se

• Compila su GitHub Actions e desidera runner, policy di egress e record delle dipendenze in un unico posto.
• Ha bisogno di una SBOM di ciò che ogni build ha scaricato, con uno stato di completezza da mostrare a un auditor.
• Desidera il monitoraggio di ciò che è stato rilasciato ed evidenze per il CRA.

Usarli entrambi

Oggi Apiiro si presenta come una soluzione per proteggere lo sviluppo agentico. Il suo Guardian Agent orienta gli assistenti di programmazione IA verso codice sicuro prima che venga scritto, e la sua XBOM deriva dall'analisi del codice nei Suoi repository. CRACI è una CI/CD con la sicurezza integrata nel runner, quindi la sua SBOM registra ciò che ogni build ha effettivamente scaricato, compreso ciò che l'analisi del codice non può vedere: script di installazione, toolchain, pacchetti in cache e immagini base. Apiiro lavora dove il codice viene scritto, CRACI dove viene compilato e rilasciato. CRACI sostituisce il runner, non GitHub Actions, quindi qualsiasi integrazione di Apiiro con le pipeline continua a funzionare.

Per il Cyber Resilience Act

Il Cyber Resilience Act chiede ai fabbricanti di conoscere i componenti di ogni prodotto, gestirne le vulnerabilità e conservare le evidenze. Una piattaforma ASPM aiuta nello sviluppo sicuro e nella gestione delle vulnerabilità del Suo codice. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA: SBOM in fase di build, monitoraggio delle vulnerabilità, provenance ed esportazione delle SBOM in CycloneDX o SPDX. Nessuno dei due strumenti La rende conforme da solo. Veda Conformità al CRA.

Aggiungere CRACI

Installi la GitHub App di CRACI nella Sua organizzazione, quindi cambi l'etichetta del runner di un job in runs-on: craci. Le esecuzioni continuano a comparire nell'interfaccia di GitHub. Inizi con un workflow che produce un artefatto di release e confronti la SBOM di CRACI con il Suo inventario attuale. Scopra di più sull'integrazione CI/CD, sulla generazione di SBOM in fase di build e sui prezzi.