CRACI vs Apiiro

간단한 답변

Apiiro는 애플리케이션 보안 태세 관리(ASPM) 플랫폼입니다. Deep Code Analysis는 코드에서 런타임까지 소프트웨어 아키텍처를 매핑하고, Risk Graph는 Apiiro 자체 스캐너와 서드파티 도구의 탐지 결과를 연관 분석합니다. 소프트웨어 공급망 보안(SSCS) 모듈은 리포지토리와 파이프라인의 인벤토리를 만들고, 취약한 브랜치 보호, 파이프라인 구성 오류, 비정상 커밋 같은 위험을 표시합니다.

CRACI는 같은 "소프트웨어 공급망 보안" 예산을 두고 다른 위치에서 경쟁합니다. CRACI는 GitHub Actions 작업을 실행합니다. Apiiro는 코드와 파이프라인 구성을 보고 무슨 일이 일어날지 추론합니다. CRACI는 빌드가 실제로 한 일을 기록하고, 네트워크 이그레스를 제어하며, 출시한 소프트웨어를 계속 감시합니다. 대규모 AppSec 프로그램이라면 둘 다 운영할 수 있습니다. 각 릴리스에 무엇이 들어갔는지에 대한 증거가 가장 먼저 필요한 팀이라면 CRACI부터 시작할 수 있습니다.

한눈에 보기

Apiiro의 강점

• CI 변경 없이 얻는 아키텍처 컨텍스트. Apiiro는 API 연동으로 소스 코드 관리 시스템에 연결되며, CI/CD 구성이나 유지 관리가 필요 없다고 설명합니다. 이후 Deep Code Analysis가 API, 민감한 데이터, GenAI 프레임워크, 코드 소유권을 매핑하고 커밋과 중요한 변경이 있을 때마다 갱신합니다.
• AI 코딩을 위한 보안. 2026년 1월에 출시된 Guardian Agent는 AI 코딩 어시스턴트와 함께 작동하며, 위협 모델, 컴플라이언스 정책, 아키텍처에서 도출한 보안 가이드라인을 개발자 프롬프트에 추가합니다. 그래서 어시스턴트가 취약한 코드를 작성하기 전에 다른 방향으로 유도됩니다. AI Threat Modeling은 2026년 3월에 뒤이어 출시되었습니다.
• 넓은 범위. Apiiro는 기본 제공 AI SAST, AI SCA, SSCS, 시크릿, 코드형 인프라(IaC), 코드 내 API 보안, 코드용 DSPM, AI 위협 모델링을 제공합니다. CRACI는 이 목록의 코드 스캔 기능을 하나도 제공하지 않습니다.
• 우선순위 지정. Risk Graph는 탐지 결과를 수집하고 중복을 제거해 연관 분석한 뒤, 이를 "유해한 조합(toxic combinations)"으로 엮습니다. Apiiro가 드는 예는 PII를 보관하고, 취약한 파이프라인으로 빌드되며, 필수 리뷰어가 없는 브랜치로 커밋을 받는 리포지토리입니다. 중간 등급 탐지 결과 3건이 하나의 심각한 위험이 됩니다.
• 소프트웨어 팩토리 인벤토리. SSCS는 섀도 파이프라인을 포함한 리포지토리와 CI/CD 파이프라인의 인벤토리를 기여자, 권한, 플러그인, 종속성과 함께 만듭니다. 파이프라인 종속성 취약점을 수명 주기 전반에서 추적하며, 가드레일로 위험한 커밋과 병합을 차단할 수 있습니다.
• 종속성 분석과 수정. AI SCA는 취약한 함수가 실제로 호출되는지 확인하고, 종속성을 배포된 컨테이너 및 공개 엔드포인트와 매칭하며, 악성 패키지를 탐지하고 라이선스 정책을 적용합니다. AutoFix는 Apiiro가 API 호환성을 사전 검증했다고 설명하는 버전 업그레이드를 제공합니다.
• 연동. 소스 제어 측면에서는 GitHub, GitLab, Azure DevOps, Bitbucket, Perforce를, 파이프라인 보안 태세에서는 Jenkins와 GitHub Actions를 지원하며, 스캐너, 레지스트리, 티켓 관리 도구와의 연동 목록도 깁니다.

CRACI가 다른 점

빌드가 정보의 원천입니다

Apiiro의 XBOM은 코드를 분석해 만들어집니다. 모든 패키지, API, AI 모델, 라이선스를 담고 코드가 바뀔 때마다 갱신됩니다. 코드가 선언하고 사용하는 것을 파악하는 데는 훌륭한 방법입니다. 그러나 빌드는 코드에 적힌 것보다 더 많은 일을 하는 경우가 많습니다. 설치 스크립트를 실행하고, 툴체인을 내려받고, 캐시를 복원하고, 베이스 이미지를 가져오고, 릴리스 바이너리를 다운로드합니다.

CRACI는 러너이므로 이런 활동을 볼 수 있습니다. 패키지를 인식하는 프록시가 작업 실행 중 패키지 소스로 향하는 트래픽을 관찰하며, npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋을 지원합니다. 종속성 증거는 CI 캐시와 함께 전달되므로 캐시에서 복원된 패키지도 빠짐없이 기록됩니다. 모든 SBOM에는 작업과 캐시마다 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나의 완전성 상태가 표시됩니다. 기록에 빈틈이 있으면 바로 알 수 있습니다.

보안 태세만이 아닌 러너 수준의 제어

Apiiro는 파이프라인 구성이 잘못되었거나 변조에 노출되어 있을 때 알려 줍니다. CRACI는 빌드가 실행되는 동안 접근할 수 있는 대상을 제한합니다. 이그레스 정책은 기본 거부 또는 기본 허용 방식이며, 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, Git용 유형별 사용자 지정 소스, 그리고 명시적인 TLS, TCP, UDP, ICMP 규칙을 제공합니다. 정책은 작업 시작 전에 검증되고 실패 시 차단되며, 위반이 발생하면 CRACI가 알림을 보낼 수 있습니다.

API로 제공되는 빌드 증거

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

출시 이후

CRACI는 새로운 취약점이 공개될 때마다 출시한 소프트웨어의 SBOM을 계속 재평가하고, 빌드와 리포지토리 전반의 탐지 결과를 집계합니다.

어디에 무엇이 배포되었는지 보여 주는 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 기준으로 정확히 보여 줍니다. 새로운 취약점이 발견되면 릴리스 노트와 스프레드시트를 뒤져 짜맞출 필요 없이 영향받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

Apiiro가 앞서는 부분

솔직히 말씀드리면, CRACI에는 SAST, 시크릿, IaC, API 보안 스캔이 없고, 다른 스캐너의 탐지 결과를 수집하지 않으며, 브랜치 보호나 리포지토리 권한을 감사하지 않습니다. 또한 현재는 GitHub Actions만 지원하며 GitLab CI와 Jenkins는 로드맵에 있습니다. CRACI는 정책 게이트로 빌드를 차단하고 라이선스 정책을 적용합니다. 모든 코드에 걸쳐 위험의 우선순위를 정하는 단일 플랫폼이 필요하다면 Apiiro가 훨씬 넓은 영역을 다룹니다.

어떤 도구가 맞을까요

Apiiro가 더 적합한 경우

• 여러 스캐너, 리포지토리, SCM 시스템을 아우르는 단일 ASPM 플랫폼이 필요한 경우.
• 어떤 코드가 인터넷에 노출되는지, PII를 다루는지, 크게 바뀌었는지 같은 아키텍처 컨텍스트가 우선인 경우.
• GitLab, Azure DevOps, Bitbucket, Jenkins 전반에서 리포지토리와 파이프라인 보안 태세 관리가 필요한 경우.

CRACI가 더 적합한 경우

• GitHub Actions로 빌드하며 러너, 이그레스 정책, 종속성 기록을 한곳에서 관리하려는 경우.
• 각 빌드가 가져온 것을 담은 SBOM과, 감사인에게 보여 줄 수 있는 완전성 상태가 필요한 경우.
• 출시한 소프트웨어의 모니터링과 CRA 증거가 필요한 경우.

함께 사용하기

Apiiro는 이제 자사를 에이전트 기반 개발을 보호하는 플랫폼으로 소개합니다. Guardian Agent는 코드가 작성되기 전에 AI 코딩 어시스턴트를 안전한 코드 쪽으로 유도하며, XBOM은 리포지토리의 코드를 분석해 만들어집니다. CRACI는 보안이 러너에 내장된 CI/CD이므로, SBOM에 각 빌드가 실제로 가져온 것이 기록됩니다. 여기에는 설치 스크립트, 툴체인, 캐시된 패키지, 베이스 이미지처럼 코드 분석으로는 볼 수 없는 것도 포함됩니다. Apiiro는 코드가 작성되는 곳에서, CRACI는 코드가 빌드되고 출시되는 곳에서 작동합니다. CRACI는 GitHub Actions가 아니라 러너를 대체하므로, Apiiro의 파이프라인 연동도 그대로 작동합니다.

Cyber Resilience Act 대응

EU Cyber Resilience Act는 제조사에게 각 제품의 구성 요소를 파악하고, 그 취약점을 처리하며, 증거를 보관하도록 요구합니다. ASPM 플랫폼은 안전한 개발과 코드 취약점 처리에 도움이 됩니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 빌드 시점 SBOM, 취약점 추적, 출처 증명, CycloneDX 또는 SPDX 형식의 SBOM 내보내기가 여기에 해당합니다. 어느 도구도 그 자체만으로 규정을 충족시켜 주지는 않습니다. CRA 컴플라이언스를 참고하세요.

CRACI 도입하기

조직에 CRACI GitHub App을 설치한 다음, 작업의 러너 레이블을 runs-on: craci로 바꾸세요. 실행 내역은 계속 GitHub UI에 표시됩니다. 릴리스 아티팩트를 만드는 워크플로 하나로 시작해 CRACI의 SBOM을 현재 인벤토리와 비교해 보세요. CI/CD 통합, 빌드 시점 SBOM 생성, 요금에 대해 자세히 알아보세요.