CRACI vs Wiz

La risposta breve

Wiz è una piattaforma di sicurezza cloud e, dall'11 marzo 2026, fa parte di Google. Wiz Code è il suo prodotto per la sicurezza del codice: scansiona codice, dipendenze, secret e IaC, verifica le impostazioni di controllo versione e CI/CD e collega ciò che trova alle risorse cloud su cui il codice finisce per girare. Ad aprile 2026 Wiz ha esteso Wiz Code a GitHub Actions: ora analizza i file di workflow, modella workflow, job e runner sul suo Security Graph e segnala trigger, permessi, action di terze parti e configurazioni di agenti AI rischiosi.

È un'analisi della configurazione: Le dice quali workflow potrebbero essere sfruttati. CRACI lavora un livello più in basso. È il runner per GitHub Actions, quindi registra i pacchetti effettivamente scaricati da ogni job, applica una policy di egress durante l'esecuzione del job e continua a monitorare ciò che è stato distribuito. Wiz copre molto più terreno, dal codice al cloud; CRACI copre ciò che accade all'interno della build.

In sintesi

"Non dichiarato" significa che non abbiamo potuto confermarlo nelle pagine pubbliche di Wiz.

Che cosa fa bene Wiz

Dal codice al cloud

• Contesto cloud. Il cuore di Wiz è la sicurezza del cloud su AWS, Azure, Google Cloud e Oracle Cloud. Scansiona VM, container e funzioni serverless senza agenti e classifica le vulnerabilità con il contesto del suo Security Graph: esposizione di rete, identità, sensibilità dei dati e percorsi di attacco.
• Mappatura code-to-cloud. Wiz Code risale da un rischio trovato nel cloud al codice sorgente che lo ha prodotto e suggerisce la correzione in quel codice. Per un team che usa già Wiz, i risultati sul codice finiscono nello stesso grafo di tutto il resto.
• Scansioni in un unico posto. SCA e SBOM per dipendenze dirette e transitive, scansione IaC di Terraform, CloudFormation, Azure Resource Manager, Kubernetes e Docker con più di 1.000 regole, secret nel codice, nei template IaC e nelle immagini container, dati sensibili come PII e PHI e scansione malware del codice "before it reaches your CI runners". Wiz SAST e i risultati di scanner di terze parti completano il quadro.

GitHub Actions e postura CI/CD

• Workflow sul grafo. Wiz analizza il YAML dei workflow GitHub Actions e modella workflow, job, runner e le loro relazioni, così una pipeline diventa un asset interrogabile con il contesto di ciò che la attiva e di ciò a cui può accedere.
• Configurazioni rischiose. Segnala trigger pericolosi come pull_request_target, analizza i permessi dichiarati nei file di workflow e apre issue per quelli rischiosi o eccessivi, fa emergere input rischiosi e potenziali fughe di secret nelle definizioni delle pipeline, inventaria le action di terze parti usate da ogni workflow e segnala gli agenti AI nei workflow esposti a prompt injection.
• Benchmark. Wiz Code verifica i sistemi di controllo versione e CI/CD rispetto a configurazioni errate e impostazioni predefinite non sicure, con OpenSSF Best Practices, OWASP Top 10 CI/CD Risks e benchmark CIS per GitHub e GitLab.
• Rilevamento delle minacce. Wiz acquisisce i log di audit delle piattaforme di controllo versione e CI/CD per individuare eventi come un clone sospetto o l'eliminazione di una regola di protezione dei branch, e il suo Sensor sui runner CI self-hosted può rilevare attività sospette, come un runner che contatta un dominio di crypto-mining.

In che cosa CRACI è diverso

Applicazione all'interno del job, non risultati sul job

L'annuncio di Wiz descrive inventario, analisi e risultati. Non descrive il controllo di ciò che un job può raggiungere durante l'esecuzione. La policy di egress di CRACI fa parte del runner. Le policy prevedono negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git, e regole esplicite per TLS, TCP, UDP e ICMP. Vengono convalidate prima dell'avvio del job e operano in modalità fail closed, e CRACI La avvisa in caso di violazione.

Questo conta perché gli attacchi alla supply chain si svolgono all'interno di job che sembrano configurati correttamente. La ricerca di Wiz sulla seconda ondata di Shai-Hulud ha rilevato che la maggior parte delle infezioni è avvenuta nelle pipeline CI/CD. Un risultato di postura può dirLe che un workflow è esposto; non può fermare un pacchetto compromesso già in esecuzione. Con una policy a negazione predefinita, una connessione verso un host di cui la build non ha bisogno viene bloccata, anche in un attacco mai visto prima.

Ciò che la build ha scaricato, non ciò che il codice dichiara

La SCA di Wiz Code scansiona le dipendenze nel Suo codice, e le sue SBOM agentless descrivono i workload cloud. CRACI vede il traffico in ingresso in ogni build: un proxy che riconosce i pacchetti registra ogni pacchetto scaricato dal job su npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download, compresi i pacchetti ripristinati dalle cache CI. È così che CRACI registra le dipendenze nascoste che gli strumenti basati sui lockfile non vedono, come il codice scaricato da hook di installazione npm o i layer delle immagini base di una build di container. Anche le GitHub Actions eseguite da un workflow compaiono nella SBOM, fissate al commit utilizzato. Ogni SBOM riporta uno stato di completezza per job e per cache, quindi quando il record ha una lacuna, lo dichiara.

Evidenze dalla build

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance e non dichiara alcun livello SLSA. CRACI continua a rivalutare le SBOM di ciò che Lei ha distribuito man mano che vengono pubblicate nuove vulnerabilità e mostra ogni build passata che conteneva una dipendenza vulnerabile, così Lei sa per quanto tempo è durata l'esposizione.

Dove Wiz è più avanti

Per dirlo chiaramente: CRACI non offre scansione SAST, di secret, IaC o malware, né controlli di postura CI/CD, né monitoraggio dei processi sui runner, né sicurezza del cloud, né mappatura code-to-cloud. Oggi esegue solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Se la Sua priorità è un'unica vista del rischio dal codice al cloud, Wiz copre molto di più.

Quale scegliere

Wiz è più adatto quando

• Usa già Wiz per la sicurezza del cloud e vuole i rischi di codice e pipeline nello stesso grafo.
• Vuole individuare trigger, permessi e action di terze parti rischiosi in molti repository.
• Le serve la scansione SAST, di secret, IaC e malware con il contesto cloud per la prioritizzazione.
• Usa runner self-hosted e vuole il rilevamento delle minacce su di essi.

CRACI è più adatto quando

• Vuole una policy di egress applicata all'interno di ogni job GitHub Actions, non solo risultati sul workflow.
• Le serve una SBOM di ciò che ogni build ha effettivamente scaricato, con uno stato di completezza da mostrare a un auditor.
• Vuole il monitoraggio di ciò che è stato distribuito e la cronologia delle build dallo stesso record.

Usarli entrambi

I controlli di postura, la scansione del codice e la sicurezza del cloud di Wiz Code coprono un terreno che CRACI per scelta non tocca, quindi restano dove sono. CRACI sostituisce il runner, non GitHub Actions: i Suoi workflow e repository restano in GitHub, quindi Wiz continua ad analizzare gli stessi file di workflow mentre i job girano su CRACI. CRACI esegue inoltre le build circa due volte più velocemente dei runner ospitati da GitHub, grazie a hardware più veloce, tempi di coda più brevi e caching, e addebita solo i minuti di build. Consulti i prezzi di CRACI.

Per il Cyber Resilience Act

Il Cyber Resilience Act è uno dei diversi framework che richiedono una SBOM e un processo di gestione delle vulnerabilità. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla supply chain di cui un processo CRA ha bisogno: SBOM in fase di build esportate in CycloneDX o SPDX, tracciamento delle vulnerabilità e provenance tramite l'API. Veda le evidenze per il CRA. Nessuno dei due strumenti da solo rende conforme un prodotto.

Per altre piattaforme in questo ambito, veda CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni e gli strumenti per la sicurezza della software supply chain.

Wiz: domande frequenti

Che cos'è Wiz Code?

Wiz Code è la parte dedicata alla sicurezza del codice della piattaforma di sicurezza cloud Wiz. Scansiona il codice alla ricerca di dipendenze vulnerabili, secret, configurazioni IaC errate, dati sensibili e malware, aggiunge SAST e risultati di scanner di terze parti, verifica le impostazioni di controllo versione e CI/CD rispetto ai benchmark e risale dai rischi cloud al codice sorgente che li ha causati.

Wiz Code protegge GitHub Actions?

Wiz Code analizza la configurazione di GitHub Actions. Da aprile 2026 analizza i file YAML dei workflow e modella workflow, job, runner e le loro relazioni sul Wiz Security Graph, segnala trigger pericolosi come pull_request_target, apre issue per permessi rischiosi o eccessivi, inventaria le action di terze parti e segnala configurazioni rischiose di agenti AI. L'annuncio di Wiz non descrive il controllo di ciò che un job può raggiungere durante l'esecuzione. CRACI è il runner, quindi applica una policy di egress all'interno di ogni job.

Wiz fa parte di Google?

Sì. Google ha completato l'acquisizione di Wiz l'11 marzo 2026. Wiz afferma di restare una piattaforma multi-cloud che copre AWS, Azure, Google Cloud e Oracle Cloud.

Quanto costa Wiz?

Wiz non pubblica listini. A settembre 2026 la sua pagina dei prezzi descrive offerte unificate e opzioni à la carte, con preventivi su richiesta. CRACI addebita solo i minuti di build: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile.

CRACI può sostituire Wiz Code?

Non nel suo insieme. CRACI non offre scansione SAST, di secret, IaC o malware, né controlli di postura CI/CD, né sicurezza del cloud. Per le build GitHub Actions, CRACI aggiunge ciò che l'analisi della configurazione non può dare: è il runner, quindi registra i pacchetti scaricati da ogni job e applica una policy di egress durante l'esecuzione del job.