CRACI vs Xygeni

La risposta breve

Xygeni è una piattaforma di sicurezza applicativa di Valladolid, in Spagna. Si descrive come "one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end". I suoi moduli coprono SAST, SCA con raggiungibilità e rilevamento del malware, secret, IaC, container, sicurezza CI/CD, sicurezza delle build con attestazioni SLSA e in-toto, rilevamento di anomalie, DAST, sicurezza delle API e un livello ASPM. Pubblica i suoi prezzi e ha un piano gratuito. Non esegue build: si integra nei sistemi CI che Lei già usa.

CRACI compete per lo stesso budget di supply chain da una posizione diversa. È il runner per GitHub Actions: registra i pacchetti effettivamente scaricati da ogni job, applica una policy di egress durante l'esecuzione del job e continua a monitorare ciò che è stato distribuito. Xygeni è molto più ampio nell'AppSec; CRACI va più a fondo sulla build e su ciò che ne è uscito.

In sintesi

"Non dichiarato" significa che non abbiamo potuto confermarlo nelle pagine pubbliche di Xygeni.

Che cosa fa bene Xygeni

• Ampiezza in un'unica piattaforma. SAST con autofix AI, SCA con raggiungibilità e pull request di aggiornamento automatiche, rilevamento di secret con revoca automatica, scansione IaC e delle immagini container e, con Enterprise, DAST, sicurezza delle API e ASPM con acquisizione di dati di terze parti.
• Malware nell'open source. Xygeni afferma di analizzare ogni giorno migliaia di pacchetti open source nuovi e aggiornati, usa un motore assistito da ML per rilevare malware sconosciuto, mette in quarantena i pacchetti sospetti e può bloccarli con un dependency firewall. Questo va oltre il confronto con le CVE.
• Sicurezza CI/CD. Cerca configurazioni errate negli script di build e nelle pipeline, affronta i rischi OWASP Top 10 CI/CD, verifica impostazioni come la protezione dei branch e l'autenticazione a più fattori e segnala comandi dannosi nelle pipeline, come reverse shell e download di malware.
• Attestazioni di build. Build Security aggiunge una riga a una pipeline per raccogliere evidenze da ogni fase della build e generare provenance SLSA e attestazioni in-toto, firmate in modalità keyless. Le attestazioni possono contenere scansioni delle vulnerabilità, SBOM in SPDX o CycloneDX e risultati dei test, e gli artefatti manomessi possono essere bloccati prima della consegna.
• Rilevamento di anomalie. Sensori per GitHub, GitLab, Jenkins e Azure sorvegliano le modifiche non autorizzate a codice, dipendenze, pipeline e configurazione di build, e inviano avvisi in tempo reale.
• Ampia copertura CI e prezzi pubblicati. Xygeni elenca integrazioni con GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI e Travis CI, e offre il deployment on-premise con Enterprise.

In che cosa CRACI è diverso

Registrata dalla build, non letta dai descrittori

La documentazione di Xygeni afferma che i suoi analizzatori elaborano i descrittori delle dipendenze per estrarre le dipendenze dirette e indirette e risolverne le versioni. È il metodo standard per creare una SBOM da un repository. CRACI vede invece il traffico in ingresso in ogni build: un proxy che riconosce i pacchetti registra ogni pacchetto scaricato dal job su npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. I pacchetti ripristinati dalle cache CI restano nel record.

È così che CRACI registra le dipendenze nascoste che gli strumenti basati sui lockfile non vedono: codice scaricato da hook di installazione npm, script di build Rust che scaricano durante la build e layer delle immagini base di una build di container. Ogni SBOM riporta uno stato di completezza per job e per cache (Complete, Complete with connections, Incomplete, Unavailable o Not recorded), quindi quando il record ha una lacuna, lo dichiara.

Controllo durante l'esecuzione della build

I controlli CI/CD di Xygeni esaminano come sono configurate le pipeline e quali comandi contengono. CRACI limita ciò che la build può raggiungere. Le policy di egress prevedono negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git, e regole esplicite per TLS, TCP, UDP e ICMP. Vengono convalidate prima dell'avvio del job e operano in modalità fail closed. Poiché una policy a negazione predefinita consente solo ciò di cui la build ha bisogno, un pacchetto compromesso che tenta di inviare i Suoi secret a un host sconosciuto viene bloccato, anche in un attacco mai visto prima, e CRACI La avvisa della violazione.

Provenance e monitoraggio da un unico record

Xygeni firma le attestazioni da uno step aggiunto alla pipeline che Lei esegue. Il record di CRACI proviene dal runner su cui è stato eseguito il job: l'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance e non dichiara alcun livello SLSA. CRACI continua a rivalutare le SBOM di ciò che Lei ha distribuito man mano che vengono pubblicate nuove vulnerabilità e mostra ogni build passata che conteneva una dipendenza vulnerabile, così Lei sa per quanto tempo è durata l'esposizione.

Il runner fa parte del prodotto

Poiché CRACI è il runner, le evidenze arrivano insieme alla capacità di calcolo: le esecuzioni continuano a comparire in GitHub e CRACI esegue le build circa due volte più velocemente dei runner ospitati da GitHub, grazie a hardware più veloce, tempi di coda più brevi e caching. CRACI addebita solo i minuti di build, $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile né costo per SBOM. Consulti i prezzi di CRACI.

Quale scegliere

Xygeni è più adatto quando

• Vuole un'unica piattaforma AppSec per SAST, SCA, secret, IaC, container e configurazione delle pipeline.
• Vuole rilevare e bloccare i pacchetti open source malevoli prima che esista un advisory.
• Compila su GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI o Travis CI.
• Le servono attestazioni SLSA e in-toto, o un deployment on-premise.
• Un piccolo team vuole iniziare con un piano gratuito e prezzi pubblicati.

CRACI è più adatto quando

• Compila su GitHub Actions e vuole runner, policy di egress e record delle dipendenze in un unico posto.
• Le serve una SBOM di ciò che ogni build ha effettivamente scaricato, con uno stato di completezza da mostrare a un auditor.
• Vuole il monitoraggio di ciò che è stato distribuito e la cronologia delle build dallo stesso record.

A che cosa rinuncia spostando le evidenze di build su CRACI

Per il software che compila su GitHub Actions, CRACI assume il lavoro dell'esportazione SBOM di Xygeni: il record, i dati di provenance e il monitoraggio provengono dal runner. Per essere chiari su che cosa comporta: CRACI non offre analisi di raggiungibilità, non rileva nuovi pacchetti malevoli in base a comportamento o reputazione (segnala le release malevole note quando viene pubblicato un advisory con una CVE), non apre pull request di aggiornamento, non firma la provenance, non dichiara alcun livello SLSA, non ha rilevamento di anomalie nel controllo del codice sorgente e oggi esegue solo GitHub Actions, con GitLab CI e Jenkins in roadmap.

I controlli SAST, secret, IaC e di postura CI/CD di Xygeni coprono un terreno che CRACI per scelta non tocca, quindi possono restare dove sono. CRACI sostituisce il runner, non GitHub Actions, quindi uno step di scansione gira su un runner CRACI come qualsiasi altro step.

Per il Cyber Resilience Act

Il Cyber Resilience Act è uno dei diversi framework che richiedono una SBOM e un processo di gestione delle vulnerabilità. Xygeni elenca nel suo piano Business controlli di conformità della software supply chain rispetto a CIS e OpenSSF. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla supply chain di cui un processo CRA ha bisogno: SBOM in fase di build esportate in CycloneDX o SPDX, tracciamento delle vulnerabilità e provenance tramite l'API. Veda le evidenze per il CRA. Nessuno dei due strumenti da solo rende conforme un prodotto.

Per altre piattaforme in questo ambito, veda CRACI vs Cycode, CRACI vs OX Security, CRACI vs Wiz e gli strumenti per la sicurezza della software supply chain.

Xygeni: domande frequenti

Che cos'è Xygeni?

Xygeni è una piattaforma di sicurezza applicativa di Valladolid, in Spagna. Combina scanner propri (SAST, SCA con raggiungibilità e rilevamento del malware, secret, IaC, container, sicurezza CI/CD e, come opzione, DAST e sicurezza delle API) con un livello ASPM, oltre alla sicurezza delle build con attestazioni SLSA e in-toto e al rilevamento di anomalie nei sistemi di controllo del codice sorgente e CI.

Quanto costa Xygeni?

A settembre 2026, la pagina dei prezzi di Xygeni mostra un piano gratuito con SAST, SCA, secret e un plugin IDE per un massimo di 10 repository, 200 scansioni al mese e 5 contributor. Team parte da circa $3,828 (€3,300) all'anno e Business da circa $6,844 (€5,900) all'anno, ciascuno con 10 contributor inclusi, ed Enterprise ha un prezzo su preventivo. Un contributor è chiunque abbia eseguito un commit in un repository scansionato negli ultimi 90 giorni. Build Security e Anomalies Detection sono opzioni Enterprise.

Xygeni fornisce runner CI?

No. Xygeni si integra con i sistemi CI che Lei utilizza, come GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI e Travis CI, e aggiunge i suoi scanner e il suo step di attestazione alle Sue pipeline. CRACI è il runner: i job GitHub Actions girano su CRACI, che registra ciò che ogni job ha scaricato e controlla ciò che può raggiungere.

Qual è la differenza tra Xygeni e CRACI?

Xygeni è un'ampia piattaforma AppSec che scansiona codice, dipendenze, secret, IaC e configurazione delle pipeline su molti sistemi CI. CRACI è un runner GitHub Actions che registra i pacchetti effettivamente scaricati da ogni build, applica una policy di egress durante l'esecuzione e continua a monitorare ciò che è stato distribuito. Xygeni è molto più ampio; CRACI registra la build stessa.

CRACI può sostituire Xygeni?

Per le evidenze di build del software che compila su GitHub Actions, sì: la SBOM registrata, la provenance e il monitoraggio delle vulnerabilità di CRACI coprono quel lavoro. CRACI non sostituisce SAST, secret, IaC, controlli di postura CI/CD, rilevamento del malware o analisi di raggiungibilità di Xygeni, e oggi esegue solo GitHub Actions, con GitLab CI e Jenkins in roadmap.