CRACI vs Trivy

La risposta breve

Trivy è uno degli strumenti di sicurezza gratuiti più utili che esistano. Scansiona immagini container, filesystem, repository, immagini di macchine virtuali e Kubernetes alla ricerca di vulnerabilità, configurazioni errate, secret e licenze, e produce SBOM come effetto collaterale. CRACI è un runner GitHub Actions che registra ciò che ogni build ha scaricato, controlla dove la build può connettersi e continua a tracciare le vulnerabilità in ciò che è stato distribuito. La differenza di fondo: Trivy deduce l'elenco dei componenti dai file, mentre CRACI lo osserva. Per la SBOM e le vulnerabilità delle dipendenze del software che Lei compila, CRACI sostituisce Trivy. Per il resto di ciò che Trivy scansiona, scelga uno strumento per ciascun compito dall'elenco qui sotto.

Perché i team cercano alternative a Trivy

• La compromissione della supply chain di marzo 2026. L'advisory di Aqua Security (CVE-2026-33634) descrive una release malevola Trivy v0.69.4 e tag avvelenati di trivy-action e setup-trivy il 19 marzo 2026, seguiti da immagini Docker Hub malevole il 22 marzo. Il codice iniettato ha rubato credenziali dai runner CI. Aqua ha pubblicato le versioni sicure e raccomanda di fissare le action ai SHA completi dei commit.
• Una scansione non è un tracciamento. Trivy riporta ciò che trova quando viene eseguito. Conservare risultati, responsabili e stato tra repository e release, e ricontrollare il software distribuito quando compaiono nuovi advisory, resta a carico Suo.
• La SBOM è dedotta dai file. Una scansione pre-build legge i lockfile. Dove un repository non ne include nessuno, c'è poco da leggere, e le versioni risolte da un'installazione reale vengono decise in fase di build.
• Ampiezza anziché profondità. Un solo binario copre molti compiti. I team che hanno bisogno di più in un'area, come l'infrastructure as code o le immagini container, spesso spostano quel compito su uno strumento dedicato.

Ogni scanner che la Sua pipeline scarica ed esegue fa esso stesso parte della Sua software supply chain, e gira accanto ai secret del job. Su CRACI è il runner a registrare la SBOM, quindi per il software che Lei compila non c'è alcuno step di scansione da scaricare. La policy di egress del runner può limitare gli host raggiungibili da qualsiasi step del job, e la traccia di rete di ogni job viene registrata. Fissare le action ai SHA dei commit, come raccomanda Aqua, vale anche su CRACI.

Alternative a Trivy, in base al compito che Trivy svolge per Lei

• SBOM e vulnerabilità delle dipendenze per il software che Lei compila: CRACI. Registra la SBOM dalla build, continua a rivalutarla e instrada i risultati verso il team responsabile.
• Scansione di immagini container e filesystem: Grype, lo scanner di vulnerabilità open source di Anchore per immagini container, filesystem e SBOM, con dati EPSS e KEV per la prioritizzazione. Si abbina a Syft per le SBOM. Veda CRACI vs Syft e Grype.
• Infrastructure as code: Checkov scansiona Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, Dockerfile, template Bicep e ARM, e controlla anche secret e pacchetti open source. KICS copre Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi e altro. Entrambi sono open source con licenza Apache-2.0.
• Secret: Gitleaks rileva password, chiavi API e token in repository Git e file, open source con licenza MIT.
• Uno scanner commerciale con indicazioni per la correzione: veda CRACI vs Snyk e il confronto tra strumenti SCA.

Per approfondire ciascuna opzione, e per il confronto Grype vs Trivy, veda la guida completa alle alternative a Trivy.

Che cosa fa bene Trivy

Trivy si descrive come "a comprehensive and versatile security scanner", e la definizione è accurata. Un solo binario copre diversi compiti che altrimenti richiederebbero strumenti separati:

• Molti target. Immagini container, filesystem, repository Git remoti, immagini di macchine virtuali e Kubernetes.
• Molti scanner. Pacchetti del sistema operativo e dipendenze software, vulnerabilità note, configurazioni errate dell'infrastructure as code, secret e licenze software.
• SBOM in entrata e in uscita. trivy fs --format cyclonedx o --format spdx-json scrive una SBOM, e trivy sbom scansiona una SBOM esistente alla ricerca di vulnerabilità.
• Funziona ovunque. È open source con licenza Apache-2.0, funziona come CLI e dispone di una GitHub Action e di un operator Kubernetes.

CRACI non esegue alcuna scansione IaC, di secret o di cluster. Se deve controllare un piano Terraform, intercettare un token finito in un commit o scansionare un'immagine di terze parti che non ha compilato, Trivy o uno degli strumenti qui sopra è la scelta giusta.

2:07

In che cosa CRACI è diverso

Trivy legge i file; CRACI osserva la build

La documentazione di Trivy è chiara sul suo metodo: "If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files." Per un target post-build come un'immagine container, legge invece i metadati dei pacchetti installati e i binari. Per i repository Node.js, significa package-lock.json, yarn.lock, pnpm-lock.yaml o bun.lock.

Questa impostazione è ragionevole, e ha un limite prevedibile. expressjs/express 5.2.1 non include un lockfile, e il repository anthropics/claude-code non ha alcun manifest di dipendenze, quindi in una scansione pre-build di entrambi Trivy non ha nulla da leggere. È Trivy che funziona come documentato, non un malfunzionamento. Le versioni che un'installazione reale risolverebbe vengono decise in fase di build.

CRACI parte dall'altro capo. I job girano con runs-on: craci, e un proxy che riconosce i pacchetti registra ciò che il job scarica da npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. I pacchetti ripristinati da una cache CI portano con sé le proprie evidenze. La SBOM (CycloneDX o SPDX) descrive ciò che la build ha effettivamente usato, con o senza lockfile.

Dice quando il record è incompleto

Ogni job e ogni cache di CRACI ha uno stato di completezza: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Una SBOM vuota o scarna risulta visibile come tale, invece di sembrare quella di un progetto con poche dipendenze.

Controlla la build

Poiché CRACI esegue il job, può applicare una policy di egress di rete: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software, convalidata prima dell'avvio del job e in modalità fail closed. Il controllo dell'egress è fuori dall'ambito di Trivy. L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. Per la firma, la documentazione di Trivy mostra un flusso con due strumenti: Trivy scrive la SBOM e Cosign la firma come attestazione.

Continua a sorvegliare

Trivy scansiona quando viene eseguito. CRACI aggrega le vulnerabilità tra build e repository e continua a rivalutare le SBOM monitorate, e i team di sicurezza possono esaminare i risultati e instradarli verso il team responsabile della correzione. Le SBOM dei vendor vengono monitorate insieme alle Sue build. I policy gate di CRACI possono bloccare una build; gli avvisi a soglia sono in roadmap.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, può vedere quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Passare da Trivy

Su CRACI non c'è alcuna SBOM da generare né alcuna scansione delle dipendenze da mantenere per le build che distribuisce. Il runner registra la SBOM durante la build, e CRACI continua a controllarla per individuare nuove vulnerabilità dopo la fine della build.

Abbia ben chiaro ciò che CRACI non fa. Non scansiona infrastructure as code, cluster Kubernetes o immagini di macchine virtuali, non cerca secret o configurazioni errate e non scansiona immagini o software che Lei non ha compilato. Gli avvisi a soglia sono in roadmap. Oggi esegue solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Se per una di queste cose fa affidamento su Trivy, lo mantenga per quell'uso.

Per il Cyber Resilience Act

Il CRA chiede ai fabbricanti di documentare i componenti di ogni prodotto, compresa una SBOM, e di gestire e segnalare le vulnerabilità in ciò che distribuiscono. Trivy aiuta individuando vulnerabilità e configurazioni errate e producendo SBOM, mentre la catena di evidenze dalla release alla SBOM deve costruirla Lei. CRACI registra la SBOM per ogni build, la collega all'artefatto, esporta le SBOM in CycloneDX o SPDX e invia per Suo conto le notifiche di vulnerabilità previste dal CRA. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA. Veda che cos'è il CRA e la generazione di SBOM in fase di build.

CRACI vs Trivy: domande frequenti

Opzioni gratuite, la compromissione di marzo 2026 e che cosa sostituisce CRACI

Qual è la migliore alternativa a Trivy?

Dipende da quale compito di Trivy intende sostituire. Per SBOM e vulnerabilità delle dipendenze nel software che Lei compila con GitHub Actions, CRACI registra la SBOM dalla build e continua a tracciarla. Per la scansione di immagini container, Grype è un equivalente open source molto vicino. Per l'infrastructure as code, Checkov e KICS sono opzioni open source. Per i secret, Gitleaks. Nessun singolo strumento sostituisce tutto Trivy.

Esiste un'alternativa gratuita a Trivy?

Sì. Grype (immagini, filesystem e SBOM), Checkov e KICS (infrastructure as code) sono open source con licenza Apache-2.0, e Gitleaks (secret) è open source con licenza MIT. CRACI è un prodotto a pagamento, fatturato per minuto di build senza canone mensile.

Trivy è ancora sicuro da usare dopo la compromissione di marzo 2026?

L'advisory di Aqua Security (CVE-2026-33634) descrive una release malevola Trivy v0.69.4 e tag avvelenati di trivy-action e setup-trivy il 19 marzo 2026, e immagini Docker Hub malevole il 22 marzo. Aqua elenca le versioni sicure e raccomanda di ruotare i secret che potrebbero essere stati esposti e di fissare le GitHub Actions ai SHA completi dei commit. Controlli l'advisory per le versioni che usa.

Qual è la differenza tra Trivy e Grype?

Entrambi sono scanner open source con licenza Apache-2.0. Grype si concentra sulle vulnerabilità di immagini container, filesystem e SBOM, e si abbina a Syft per la generazione di SBOM. Trivy copre più target e scanner in un solo binario, compresi infrastructure as code, secret, licenze, immagini di macchine virtuali e Kubernetes.

CRACI può sostituire Trivy?

Per la SBOM e le vulnerabilità delle dipendenze del software che Lei compila su GitHub Actions, sì: CRACI registra la SBOM durante la build e continua a rivalutarla rispetto ai dati sulle vulnerabilità. CRACI non scansiona infrastructure as code, cluster Kubernetes, immagini di macchine virtuali, secret, configurazioni errate né immagini che Lei non ha compilato. Per questi casi mantenga Trivy o un altro scanner.

CRACI scansiona Terraform o altra infrastructure as code?

No. CRACI registra ciò che le Sue build scaricano e traccia le vulnerabilità in ciò che distribuisce. Per Terraform e altra infrastructure as code, usi lo scanner di configurazioni errate di Trivy o uno strumento dedicato come Checkov o KICS.