CRACI vs Safeguard

요약

Safeguard는 소프트웨어 공급망 보안 플랫폼을 판매합니다. 사이트에 따르면 아직 CVE가 없는 것을 포함해 취약점을 찾고, 도달 가능성 분석으로 걸러내며, Griffin AI 모델이 패치를 작성하고 CI를 실행한 뒤 정책에 따라 풀 리퀘스트를 병합합니다. CycloneDX 및 SPDX 형식의 SBOM을 생성하고, SLSA 출처 증명을 기록하며, 증거를 컴플라이언스 프레임워크에 매핑하고, 클라우드, 온프레미스 또는 에어갭 환경에서 실행됩니다. 빌드는 실행하지 않습니다. CLI가 기존 CI에서 실행됩니다.

CRACI는 같은 공급망 예산을 두고 다른 위치에서 경쟁합니다. CRACI는 GitHub Actions용 러너입니다. 각 작업이 실제로 가져온 패키지를 기록하고, 작업 실행 중에 이그레스 정책을 적용하며, 출시된 것을 계속 모니터링합니다. Safeguard는 코드 주변을 더 넓게 다루고, CRACI는 빌드와 그 결과물을 더 깊이 다룹니다.

한눈에 비교

Safeguard 열은 2026년 9월 29일에 확인한 Safeguard 자체 사이트와 문서의 내용을 반영합니다. "명시되지 않음"은 그곳에서 확인할 수 없었다는 뜻입니다.

Safeguard가 잘하는 것

• 발견에 그치지 않는 수정. Safeguard에 따르면 Griffin AI는 도달 가능성을 입증하고, 호환되는 업그레이드를 작성하며, 샌드박스 브랜치에서 CI와 회귀 테스트를 실행하고, 정책 게이트에 따라 병합합니다. 모든 유료 플랜에는 월별 수정 풀 리퀘스트 할당량이 포함되어 있습니다.
• 도달 가능성 우선. 발견 사항을 애플리케이션이 실제로 도달할 수 있는 취약한 코드로 걸러내므로, 대기열이 짧게 유지됩니다.
• 종속성 그 이상. CLI는 시크릿과 잘못된 구성도 SARIF로 보고하며, 이는 GitHub 코드 스캔 탭에 표시됩니다. 플랫폼은 소스, IaC, 컨테이너 스캔도 설명합니다.
• 강화된 구성 요소. 강화된 이미지와 패키지의 공개 Gold 디렉터리 및 레지스트리를 제공하므로, 팀은 알려진 CVE가 없는 구성 요소에서 시작할 수 있습니다.
• 공급업체 위험. Third Party Risk Manager가 공급업체에 점수를 매기고 공급업체가 제공한 SBOM을 검증하며, Portal은 SBOM을 고객에게 게시합니다.
• 폭넓은 CI 지원, 배포 옵션, 무료 플랜. 문서는 GitHub Actions, GitLab CI/CD, Jenkins, Azure DevOps를 다룹니다. Sovereign 등급에서 온프레미스 및 에어갭 배포를 제공하고, 셀프 서비스 요금을 공개하며, 카드 없이 쓸 수 있는 무료 플랜이 있습니다.

CRACI가 다른 점

사후 스캔이 아닌 빌드에서의 기록

Safeguard 문서에 따르면 CLI는 Syft와 Grype를 실행하며, 연결된 리포지토리, 컨테이너 이미지, package.json, requirements.txt 같은 업로드된 매니페스트로 SBOM을 만듭니다. 이는 파일을 읽고 무엇이 들어갔는지 추론하는, SBOM을 만드는 표준 방식입니다. CRACI는 그 대신 각 빌드로 들어오는 트래픽을 봅니다. 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋 전반에서 작업이 가져온 모든 패키지를 기록하며, CI 캐시에서 복원된 패키지도 기록에 남습니다.

이렇게 CRACI는 잠금 파일 기반 도구가 놓치는 숨은 종속성을 기록합니다. npm install 훅이 다운로드하는 코드, 빌드 시점에 무언가를 내려받는 Rust 빌드 스크립트, 컨테이너 빌드의 베이스 이미지 레이어가 그 예입니다. 모든 SBOM에는 작업별, 캐시별 완전성 상태(Complete, Complete with connections, Incomplete, Unavailable 또는 Not recorded)가 표시되므로, 기록에 빈틈이 있으면 그 사실을 알려줍니다.

빌드 실행 중의 통제

스캐너는 발견한 것을 사후에 보고합니다. CRACI는 러너이므로, 작업이 실행되는 동안 어떤 호스트에 접근할 수 있는지 결정합니다. 이그레스 정책은 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 유형이 지정된 사용자 지정 소스를 갖추고, 작업 시작 전에 검증되며, 실패 시 차단(fail closed) 방식으로 동작합니다. 기본 거부 정책에서는 침해된 패키지가 시크릿을 알 수 없는 호스트로 보내려 하면, 아무도 본 적 없는 공격이라도 차단되며, CRACI가 위반 사실을 알려줍니다.

하나의 기록에서 나오는 출처 증명과 모니터링

Safeguard는 SLSA 출처 증명을 생성, 저장, 검증한다고 밝힙니다. CRACI의 출처 증명은 작업이 실행된 러너에서 나옵니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않으며 SLSA 레벨을 주장하지 않습니다. 새로운 취약점이 공개될 때마다 출시된 것의 SBOM을 계속 재평가하고, 취약한 종속성을 포함했던 과거의 모든 빌드를 보여주므로, 얼마나 오래 노출되었는지 알 수 있습니다.

러너가 제품의 일부입니다

CRACI가 러너이므로 증거가 컴퓨팅과 함께 제공됩니다. 실행은 계속 GitHub에 표시되며, CRACI는 더 빠른 하드웨어, 더 짧은 대기 시간, 캐싱 덕분에 GitHub 호스팅 러너보다 빌드를 약 2배 빠르게 실행합니다. CRACI는 빌드 시간에 대해서만 과금하며, vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이고 초 단위로 측정되며, 월 요금과 SBOM당 요금이 없습니다. CRACI 요금을 참조하세요.

어느 쪽이 맞을까요

Safeguard가 더 적합한 경우

• 수정 풀 리퀘스트를 대신 작성, 테스트, 병합해 주기를 원하는 경우.
• 도달 가능성 분석과 시크릿 및 잘못된 구성 발견을 같은 플랫폼에서 원하는 경우.
• GitLab, Jenkins 또는 Azure DevOps에서 빌드하는 경우.
• 지금 당장 온프레미스 또는 에어갭 배포가 필요한 경우.
• SBOM과 함께 강화 구성 요소 레지스트리나 공급업체 위험 점수를 원하는 경우.

CRACI가 더 적합한 경우

• GitHub Actions에서 빌드하며 러너, 이그레스 정책, 종속성 기록을 한곳에서 원하는 경우.
• 각 빌드가 실제로 가져온 것의 SBOM이, 감사인에게 보여줄 수 있는 완전성 상태와 함께 필요한 경우.
• 출시된 것의 모니터링과 빌드 이력을 같은 기록에서 원하는 경우.

Safeguard를 CRACI로 대체하기

GitHub Actions에서 빌드하는 소프트웨어의 경우, CRACI가 SBOM과 모니터링 업무를 맡습니다. 빌드에서 완전성이 표시된 SBOM을 기록하고, 모니터링 중인 SBOM을 계속 재평가하며, 빌드와 리포지토리 전반의 발견 사항을 집계하고, 보안 팀이 이를 분류해 각각을 수정 담당 팀에 배정할 수 있게 합니다. 정책 게이트는 특정 CVE를 포함한 발견 사항을 근거로 빌드를 차단할 수 있습니다.

포기하는 것도 분명히 알아 두세요. CRACI는 수정 풀 리퀘스트를 열지 않고, 도달 가능성 분석이 없으며, 시크릿이나 잘못된 구성을 스캔하지 않고, 강화 구성 요소 레지스트리를 제공하지 않으며, 서명된 출처 증명이나 SLSA 레벨이 없고, 새로운 악성 패키지를 동작으로 탐지하지 않으며(CVE가 포함된 권고가 게시되면 알려진 악성 릴리스를 표시합니다), 현재 온프레미스나 에어갭 옵션이 없습니다. GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. 각 릴리스가 무엇으로 빌드되었는지에 대한 기록보다 자동화된 수정이나 이러한 배포 옵션이 더 중요하다면, Safeguard가 더 적합합니다.

SBOM 도구를 구매하기 전에 확인할 것

다음 질문은 CRACI를 포함해 이 범주의 모든 공급업체에 해당합니다.

• SBOM은 어떻게 생성됩니까? 어떤 도구가 무엇으로부터 SBOM을 생성하는지 물어보세요. 잠금 파일과 매니페스트인지, 완성된 이미지의 스캔인지, 빌드의 기록인지. 그런 다음 자체 빌드 하나에서 실행해 전이적 종속성을 포함한 구성 요소 목록을 비교하세요.
• 인증은 발급 기관에 확인하세요. 인증서나 승인은 발급 기관에서 확인할 수 있으며, 프레임워크를 "염두에 두고 설계"했거나 "부합"한다는 것은 이를 보유한 것과 같지 않습니다. Safeguard 보안 페이지는 아키텍처가 FedRAMP High 및 IL5를 염두에 두고 설계되었고 SOC 2 Type II 감사가 진행 중이라고 설명합니다. 이 표현과 일치하게, 2026년 9월 29일 확인 당시 Safeguard는 FedRAMP Marketplace에 등재되어 있지 않았습니다. CRACI는 Into Certification으로부터 ISO/IEC 27001 인증을 받았으며, 자세한 내용은 Trust Center에 있습니다.
• 레퍼런스를 요청하세요. Safeguard 사이트는 고객을 NDA에 따라 익명으로 소개합니다. CRACI를 포함해 어떤 공급업체를 검토하든, 비슷한 팀과의 레퍼런스 통화를 요청하세요.
• 요금은 서면으로 확인하세요. 공개 요금은 바뀝니다. Safeguard 요금 페이지에는 금액이 최종 승인 전의 제안 가격이라고 적혀 있습니다.

SBOM 요구 사항

여러 프레임워크가 SBOM과 그 안의 취약점을 처리하는 방법을 요구합니다. 미국 행정명령 14028은 SBOM을 중심으로 연방 조달 지침을 형성하고, FDA 524B조는 사이버 디바이스에 SBOM을 요구하며, EU의 Cyber Resilience Act는 제조사에 구성 요소 문서화를 요구합니다. CRACI는 이러한 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화합니다. CycloneDX 또는 SPDX로 내보내는 빌드 시점 SBOM, 취약점 추적, API를 통한 출처 증명이 그것입니다. CRA 증거를 참조하세요. 어느 도구도 그것만으로 제품을 규정 준수 상태로 만들어 주지는 않습니다.

이 분야의 다른 도구는 CRACI vs Anchore, CRACI vs Syft and Grype, SBOM 도구 비교를 참조하세요.

Safeguard에 관한 질문과 답변

Safeguard란 무엇입니까?

Safeguard(사이트에 따르면 캘리포니아주 더블린의 Safeguard.sh Inc)는 소프트웨어 공급망 보안 플랫폼을 판매합니다. 사이트에서는 CycloneDX 및 SPDX 형식의 SBOM 생성, SLSA 출처 증명, 도달 가능성 분석, Griffin 모델이 작성하는 AI 수정 풀 리퀘스트, 서드파티 위험 관리, 강화 구성 요소 레지스트리, 클라우드, 온프레미스 또는 에어갭 배포를 설명합니다.

Safeguard는 SBOM을 어떻게 생성합니까?

Safeguard 문서에 따르면 Safeguard는 연결된 리포지토리, 컨테이너 이미지, 업로드된 패키지 매니페스트로 SBOM을 만들며, CLI(safeguard scan)가 파이프라인에서 Syft와 Grype를 실행합니다. Anchore와의 비교 페이지에는 자사 SBOM이 "Syft를 통한" CycloneDX 및 SPDX라고 나와 있습니다. CRACI는 스캔하지 않습니다. 빌드를 실행하고 각 작업이 가져온 패키지를 기록합니다.

Safeguard는 CI 러너를 제공합니까?

아니요. Safeguard의 CI 문서에서는 고객이 운영하는 GitHub Actions, GitLab CI/CD, Jenkins, Azure DevOps 파이프라인 안에서 CLI가 실행되는 모습을 보여주며, CLI는 빌드를 실패시키지 않고 발견 사항을 보고하고 실제 적용은 플랫폼의 정책 게이트에서 이루어진다고 설명합니다. CRACI는 러너입니다. GitHub Actions 작업이 CRACI에서 실행되며, CRACI는 각 작업이 가져온 것을 기록하고 접근할 수 있는 곳을 통제합니다.

Safeguard의 요금은 얼마입니까?

2026년 9월 기준 Safeguard 요금 페이지에는 월 수정 풀 리퀘스트 5건, 스캔 구성 요소 100개, MCP 도구 호출 100회가 포함된 무료 플랜, 월 $9, $25, $49, $99의 개인 플랜, 최소 2명 기준 사용자당 월 $19, $49, $99의 Team 플랜, 그리고 견적 기반의 Business, Enterprise, Sovereign이 나와 있습니다. 컴플라이언스 팩은 프레임워크당 연 $2,099입니다. 페이지에는 금액이 최종 승인 전의 제안 가격이라고 적혀 있으므로, 현재 요금은 Safeguard에 확인하세요. CRACI는 빌드 시간에 대해서만 과금합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며 초 단위로 측정됩니다.

CRACI가 Safeguard를 대체할 수 있습니까?

GitHub Actions에서 빌드하는 소프트웨어의 SBOM, 출처 증명, 취약점 모니터링이라면 가능합니다. CRACI는 빌드 자체에서 SBOM을 생성하고 계속 모니터링합니다. CRACI는 Safeguard의 AI 수정 풀 리퀘스트, 도달 가능성 분석, 시크릿 및 잘못된 구성 탐지, 강화 구성 요소 레지스트리, 에어갭 배포를 대체하지 않으며, 현재 GitHub Actions만 지원하고 GitLab CI와 Jenkins는 로드맵에 있습니다.