CRACI vs Safeguard

La risposta breve

Safeguard vende una piattaforma di sicurezza della software supply chain. Il suo sito afferma che trova vulnerabilità, comprese quelle che non hanno ancora una CVE, le filtra con l'analisi di raggiungibilità e fa sì che i suoi modelli AI Griffin scrivano la patch, eseguano la Sua CI e facciano il merge della pull request secondo la Sua policy. Genera SBOM in CycloneDX e SPDX, registra la provenance SLSA, associa le evidenze ai framework di conformità e gira in cloud, on-premise o air-gapped. Non esegue build: la sua CLI gira nella CI che Lei ha già.

CRACI compete per lo stesso budget di supply chain da una posizione diversa. È il runner per GitHub Actions: registra i pacchetti effettivamente scaricati da ogni job, applica una policy di egress durante l'esecuzione del job e continua a monitorare ciò che è stato distribuito. Safeguard copre un ambito più ampio attorno al codice; CRACI va più a fondo sulla build e su ciò che ne è uscito.

In sintesi

La colonna di Safeguard riflette ciò che dichiarano il suo sito e la sua documentazione, verificati il 29 settembre 2026. "Non dichiarato" significa che non abbiamo potuto confermarlo in quelle fonti.

Che cosa fa bene Safeguard

• Correzioni, non solo risultati. Safeguard afferma che Griffin AI dimostra la raggiungibilità, scrive un aggiornamento compatibile, esegue la Sua CI e la suite di regressione in un branch sandbox ed effettua il merge secondo i Suoi policy gate. Ogni piano a pagamento include una quota mensile di pull request di correzione.
• Prima la raggiungibilità. I risultati vengono limitati al codice vulnerabile che la Sua applicazione può effettivamente raggiungere, il che mantiene corta la coda.
• Oltre le dipendenze. La sua CLI segnala anche secret e configurazioni errate in formato SARIF, che compare nella scheda code scanning di GitHub, e la piattaforma descrive la scansione di sorgenti, IaC e container.
• Componenti hardened. Una directory e un registry Gold pubblici di immagini e pacchetti hardened, così i team possono partire da componenti senza CVE note.
• Rischio dei fornitori. Un Third Party Risk Manager assegna un punteggio ai vendor e verifica le SBOM che forniscono, e un Portal pubblica le Sue SBOM per i clienti.
• Ampia copertura CI, opzioni di deployment e un piano gratuito. La sua documentazione copre GitHub Actions, GitLab CI/CD, Jenkins e Azure DevOps. Offre deployment on-premise e air-gapped con il livello Sovereign, pubblica prezzi self-service e ha un piano gratuito senza carta di credito.

In che cosa CRACI è diverso

Registrata dalla build, non scansionata dopo

La documentazione di Safeguard afferma che la sua CLI esegue Syft e Grype e che crea le SBOM da repository collegati, immagini container e manifest caricati come package.json e requirements.txt. È il metodo standard per creare una SBOM: leggere i file e ricavare che cosa è entrato. CRACI vede invece il traffico in ingresso in ogni build. Un proxy che riconosce i pacchetti registra ogni pacchetto scaricato dal job su npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download, e i pacchetti ripristinati dalle cache CI restano nel record.

È così che CRACI registra le dipendenze nascoste che gli strumenti basati sui lockfile non vedono: codice scaricato da hook di installazione npm, script di build Rust che scaricano durante la build e layer delle immagini base di una build di container. Ogni SBOM riporta uno stato di completezza per job e per cache (Complete, Complete with connections, Incomplete, Unavailable o Not recorded), quindi quando il record ha una lacuna, lo dichiara.

Controllo durante l'esecuzione della build

Uno scanner segnala ciò che trova a cose fatte. Poiché CRACI è il runner, decide quali host un job può raggiungere durante l'esecuzione. Le policy di egress prevedono negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate, vengono convalidate prima dell'avvio del job e operano in modalità fail closed. Con una policy a negazione predefinita, un pacchetto compromesso che tenta di inviare i Suoi secret a un host sconosciuto viene bloccato, anche in un attacco mai visto prima, e CRACI La avvisa della violazione.

Provenance e monitoraggio da un unico record

Safeguard afferma di generare, conservare e verificare la provenance SLSA. La provenance di CRACI proviene dal runner su cui è stato eseguito il job: l'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance e non dichiara alcun livello SLSA. Continua a rivalutare le SBOM di ciò che Lei ha distribuito man mano che vengono pubblicate nuove vulnerabilità e mostra ogni build passata che conteneva una dipendenza vulnerabile, così Lei sa per quanto tempo è stato esposto.

Il runner fa parte del prodotto

Poiché CRACI è il runner, le evidenze arrivano insieme al calcolo: le esecuzioni continuano a comparire in GitHub e CRACI esegue le build circa due volte più velocemente dei runner ospitati da GitHub, grazie a hardware più veloce, tempi di coda più brevi e caching. CRACI addebita solo i minuti di build, $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile né costo per SBOM. Consulti i prezzi di CRACI.

Quale scegliere

Safeguard è più adatto quando

• Vuole pull request di correzione scritte, testate e integrate per Lei.
• Vuole analisi di raggiungibilità e risultati su secret e configurazioni errate nella stessa piattaforma.
• Compila su GitLab, Jenkins o Azure DevOps.
• Le serve oggi un deployment on-premise o air-gapped.
• Vuole un registry di componenti hardened o il punteggio di rischio dei fornitori accanto alle Sue SBOM.

CRACI è più adatto quando

• Compila su GitHub Actions e vuole runner, policy di egress e record delle dipendenze in un unico posto.
• Le serve una SBOM di ciò che ogni build ha effettivamente scaricato, con uno stato di completezza da mostrare a un auditor.
• Vuole il monitoraggio di ciò che è stato distribuito e la cronologia delle build dallo stesso record.

Sostituire Safeguard con CRACI

Per il software che Lei compila su GitHub Actions, CRACI si fa carico del lavoro su SBOM e monitoraggio: registra la SBOM nella build con una completezza dichiarata, continua a rivalutare le SBOM monitorate, aggrega i risultati tra build e repository e consente ai team di sicurezza di esaminarli e assegnare ciascuno al team responsabile della correzione. I policy gate possono bloccare una build in base ai risultati, compresa una specifica CVE.

Abbia ben chiaro a che cosa rinuncia. CRACI non apre pull request di correzione, non offre analisi di raggiungibilità, non scansiona secret o configurazioni errate, non offre un registry di componenti hardened, non ha provenance firmata né un livello SLSA, non rileva nuovi pacchetti malevoli in base al comportamento (segnala le release malevole note quando viene pubblicato un advisory con una CVE) e oggi non ha alcuna opzione on-premise o air-gapped. Esegue solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Se la remediation automatizzata o quelle opzioni di deployment contano più di un record di ciò da cui è stata costruita ogni release, Safeguard è la scelta più adatta.

Che cosa verificare prima di acquistare qualsiasi strumento SBOM

Queste domande valgono per ogni vendor di questa categoria, CRACI compreso.

• Come viene prodotta la SBOM? Chieda quale strumento la genera e da che cosa: lockfile e manifest, una scansione dell'immagine finita o una registrazione della build. Poi lo esegua su una delle Sue build e confronti gli elenchi dei componenti, comprese le dipendenze transitive.
• Verifichi le certificazioni presso l'ente emittente. Un certificato o un'autorizzazione possono essere confermati dall'ente che li ha rilasciati, ed essere progettati per un framework o allineati a esso non equivale a possederlo. La pagina sulla sicurezza di Safeguard descrive la sua architettura come progettata per FedRAMP High e IL5 e il suo audit SOC 2 Type II come in corso; coerentemente con questa formulazione, Safeguard non figurava nel FedRAMP Marketplace quando abbiamo controllato il 29 settembre 2026. CRACI detiene la certificazione ISO/IEC 27001 rilasciata da Into Certification, con i dettagli nel suo Trust Center.
• Chieda referenze. Il sito di Safeguard descrive i suoi clienti in forma anonima, sotto NDA. Qualunque vendor stia valutando, CRACI compreso, chieda una chiamata di referenze con un team simile al Suo.
• Si faccia confermare il prezzo per iscritto. I prezzi pubblicati cambiano. La pagina dei prezzi di Safeguard precisa che le cifre sono proposte in attesa dell'approvazione definitiva.

Requisiti SBOM

Diversi framework richiedono una SBOM e un modo per gestirne le vulnerabilità: l'Executive Order 14028 degli Stati Uniti orienta le linee guida sugli acquisti federali attorno alle SBOM, la sezione 524B della FDA ne richiede una per i cyber device e il Cyber Resilience Act dell'UE chiede ai fabbricanti di documentare i loro componenti. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla supply chain di cui questi processi hanno bisogno: SBOM in fase di build esportate in CycloneDX o SPDX, tracciamento delle vulnerabilità e provenance tramite l'API. Veda le evidenze per il CRA. Nessuno dei due strumenti da solo rende conforme un prodotto.

Per altri strumenti in questo ambito, veda CRACI vs Anchore, CRACI vs Syft e Grype e gli strumenti SBOM a confronto.

Safeguard: domande frequenti

Che cos'è Safeguard?

Safeguard (Safeguard.sh Inc, Dublin, California, secondo il suo sito) vende una piattaforma di sicurezza della software supply chain. Il suo sito descrive la generazione di SBOM in CycloneDX e SPDX, la provenance SLSA, l'analisi di raggiungibilità, le pull request di correzione scritte dall'AI con i suoi modelli Griffin, la gestione del rischio di terze parti, un registry di componenti hardened e il deployment in cloud, on-premise o air-gapped.

In che modo Safeguard genera le SBOM?

Secondo la sua documentazione, Safeguard crea le SBOM da repository collegati, immagini container e manifest dei pacchetti caricati, e la sua CLI (safeguard scan) esegue Syft e Grype nella Sua pipeline. Il suo confronto con Anchore indica la sua SBOM come CycloneDX e SPDX "via Syft". CRACI non scansiona: esegue la build e registra i pacchetti scaricati da ogni job.

Safeguard fornisce runner CI?

No. La documentazione CI di Safeguard mostra la sua CLI in esecuzione all'interno di pipeline GitHub Actions, GitLab CI/CD, Jenkins e Azure DevOps gestite da Lei, e precisa che la CLI segnala i risultati senza far fallire la build; l'applicazione delle regole avviene nei policy gate della piattaforma. CRACI è il runner: i job GitHub Actions girano su CRACI, che registra ciò che ogni job ha scaricato e controlla ciò che può raggiungere.

Quanto costa Safeguard?

A settembre 2026, la pagina dei prezzi di Safeguard indica un piano gratuito con 5 pull request di correzione, 100 componenti scansionati e 100 chiamate a strumenti MCP al mese; piani individuali a $9, $25, $49 e $99 al mese; piani Team a $19, $49 e $99 per utente al mese, con un minimo di due utenti; e Business, Enterprise e Sovereign su preventivo. I compliance pack costano $2,099 per framework all'anno. La pagina precisa che le cifre sono proposte in attesa dell'approvazione definitiva, quindi verifichi i prezzi attuali con Safeguard. CRACI addebita solo i minuti di build: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo.

CRACI può sostituire Safeguard?

Per le SBOM, la provenance e il monitoraggio delle vulnerabilità del software che Lei compila su GitHub Actions, sì: CRACI produce la SBOM dalla build stessa e continua a monitorarla. CRACI non sostituisce le pull request di correzione AI di Safeguard, l'analisi di raggiungibilità, il rilevamento di secret e configurazioni errate, il registry di componenti hardened né il deployment air-gapped, e oggi esegue solo GitHub Actions, con GitLab CI e Jenkins in roadmap.