CRACI vs Wiz

간단히 말하면

Wiz는 클라우드 보안 플랫폼이며 2026년 3월 11일부터 Google 소속입니다. Wiz Code는 Wiz의 코드 보안 제품으로, 코드, 종속성, 시크릿, IaC를 스캔하고 버전 관리와 CI/CD 설정을 점검하며, 발견한 내용을 해당 코드가 최종적으로 실행되는 클라우드 리소스와 연결합니다. 2026년 4월 Wiz는 Wiz Code를 GitHub Actions로 확장했습니다. 이제 워크플로 파일을 파싱해 워크플로, 작업, 러너를 Security Graph에 모델링하고, 위험한 트리거, 권한, 서드파티 액션, AI 에이전트 구성을 표시합니다.

이것은 구성 분석으로, 어떤 워크플로가 악용될 수 있는지 알려 줍니다. CRACI는 한 계층 아래에서 동작합니다. GitHub Actions용 러너이므로 각 작업이 실제로 가져온 패키지를 기록하고, 작업이 실행되는 동안 이그레스 정책을 적용하며, 출시한 항목을 계속 모니터링합니다. Wiz는 코드에서 클라우드까지 훨씬 넓은 범위를 다루고, CRACI는 빌드 안에서 일어나는 일을 다룹니다.

한눈에 보기

"공개 정보 없음"은 Wiz의 공개 페이지에서 확인할 수 없었다는 뜻입니다.

Wiz의 강점

코드에서 클라우드까지

• 클라우드 컨텍스트. Wiz의 핵심은 AWS, Azure, Google Cloud, Oracle Cloud 전반의 클라우드 보안입니다. VM, 컨테이너, 서버리스 함수를 에이전트 없이 스캔하고, Security Graph의 컨텍스트, 즉 네트워크 노출, ID, 데이터 민감도, 공격 경로를 바탕으로 취약점의 순위를 매깁니다.
• 코드-클라우드 매핑. Wiz Code는 클라우드에서 발견된 위험을 그것을 만든 소스 코드까지 추적하고, 해당 코드에서의 수정 방법을 제안합니다. 이미 Wiz를 사용하는 팀이라면 코드 관련 결과가 다른 모든 정보와 같은 그래프에 모입니다.
• 한곳에서 이루어지는 스캔. 직접 및 전이적 종속성에 대한 SCA와 SBOM, 1,000개가 넘는 규칙으로 Terraform, CloudFormation, Azure Resource Manager, Kubernetes, Docker를 점검하는 IaC 스캔, 코드와 IaC 템플릿, 컨테이너 이미지의 시크릿, PII와 PHI 같은 민감한 데이터, 그리고 "CI 러너에 도달하기 전에" 코드베이스를 검사하는 멀웨어 스캔을 제공합니다. Wiz SAST와 서드파티 스캐너 결과가 전체 그림을 완성합니다.

GitHub Actions와 CI/CD 보안 태세

• 그래프 위의 워크플로. Wiz는 GitHub Actions 워크플로 YAML을 파싱해 워크플로, 작업, 러너와 그 관계를 모델링합니다. 따라서 파이프라인은 무엇이 이를 트리거하고 무엇에 접근할 수 있는지에 대한 컨텍스트를 갖춘, 쿼리 가능한 자산이 됩니다.
• 위험한 구성. pull_request_target 같은 위험한 트리거를 표시하고, 워크플로 파일에 선언된 권한을 분석해 위험하거나 과도한 권한에 대해 이슈를 생성하며, 파이프라인 정의의 위험한 입력과 잠재적인 시크릿 유출을 드러내고, 각 워크플로가 사용하는 서드파티 액션의 인벤토리를 만들고, 프롬프트 인젝션에 노출된 워크플로 속 AI 에이전트를 표시합니다.
• 벤치마크. Wiz Code는 버전 관리 및 CI/CD 시스템의 설정 오류와 안전하지 않은 기본값을 OpenSSF Best Practices, OWASP Top 10 CI/CD Risks, GitHub 및 GitLab용 CIS 벤치마크에 따라 점검합니다.
• 위협 탐지. Wiz는 버전 관리 및 CI/CD 플랫폼의 감사 로그를 수집해 의심스러운 클론이나 브랜치 보호 규칙 삭제 같은 이벤트를 포착하며, 셀프 호스팅 CI 러너의 Sensor는 러너가 암호화폐 채굴 도메인에 접속하는 것과 같은 의심스러운 활동을 탐지할 수 있습니다.

CRACI의 차이점

작업에 대한 결과가 아니라 작업 안에서의 적용

Wiz의 발표는 인벤토리, 분석, 결과를 설명합니다. 작업이 실행되는 동안 접근할 수 있는 대상을 제어하는 기능은 설명하지 않습니다. CRACI의 이그레스 정책은 러너의 일부입니다. 정책은 기본 거부 또는 기본 허용 방식이며, 24개의 기본 제공 소프트웨어 소스 프리셋, npm, PyPI, apt, apk, Go 프록시, Nix, Cargo, OCI 레지스트리, Git용 유형별 사용자 지정 소스, 그리고 명시적인 TLS, TCP, UDP, ICMP 규칙을 지원합니다. 정책은 작업 시작 전에 검증되고 실패 시 차단되며, 위반이 발생하면 CRACI가 알림을 보냅니다.

이것이 중요한 이유는 공급망 공격이 올바르게 구성된 것처럼 보이는 작업 안에서 실행되기 때문입니다. 두 번째 Shai-Hulud 공격에 대한 Wiz 자체 연구에서도 감염 대부분이 CI/CD 파이프라인에서 실행된 것으로 나타났습니다. 보안 태세 점검 결과는 워크플로가 노출되어 있다고 알려 줄 수는 있지만, 이미 실행 중인 손상된 패키지를 막을 수는 없습니다. 기본 거부 정책을 사용하면 빌드에 필요하지 않은 호스트로의 연결이 차단되며, 이는 아무도 본 적 없는 공격에서도 마찬가지입니다.

코드가 선언한 것이 아니라 빌드가 가져온 것

Wiz Code의 SCA는 코드 안의 종속성을 스캔하고, 에이전트리스 SBOM은 클라우드 워크로드를 기술합니다. CRACI는 각 빌드로 들어오는 트래픽을 봅니다. 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋 전반에서 작업이 가져온 모든 패키지를 기록하며, CI 캐시에서 복원된 패키지도 포함합니다. 이 방식으로 CRACI는 npm install 훅이 내려받는 코드나 컨테이너 빌드의 베이스 이미지 레이어처럼, 잠금 파일 기반 도구가 놓치는 숨은 종속성을 기록합니다. 워크플로가 실행한 GitHub Actions도 사용된 커밋에 고정된 상태로 SBOM에 포함됩니다. 모든 SBOM에는 작업별, 캐시별 완전성 상태가 표시되므로, 기록에 빈틈이 있으면 그 사실이 드러납니다.

빌드에서 나온 증거

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않으며 SLSA 레벨을 주장하지 않습니다. CRACI는 새로운 취약점이 공개될 때마다 출시한 항목의 SBOM을 계속 재평가하고, 취약한 종속성이 포함되었던 과거 빌드를 모두 보여 주므로 얼마나 오래 노출되어 있었는지 알 수 있습니다.

Wiz가 앞서는 부분

분명히 말씀드리면, CRACI에는 SAST, 시크릿, IaC, 멀웨어 스캔이 없고, CI/CD 보안 태세 점검, 러너의 프로세스 모니터링, 클라우드 보안, 코드-클라우드 매핑도 없습니다. 현재는 GitHub Actions만 실행하며, GitLab CI와 Jenkins는 로드맵에 있습니다. 코드에서 클라우드까지 위험을 하나의 화면으로 보는 것이 우선이라면 Wiz가 훨씬 많은 부분을 다룹니다.

어느 쪽이 맞을까

Wiz가 더 적합한 경우

• 이미 클라우드 보안에 Wiz를 사용하고 있으며, 코드와 파이프라인 위험을 같은 그래프에서 보고 싶은 경우.
• 여러 리포지토리에 걸쳐 위험한 워크플로 트리거, 권한, 서드파티 액션을 찾고 싶은 경우.
• 우선순위 지정을 위한 클라우드 컨텍스트와 함께 SAST, 시크릿, IaC, 멀웨어 스캔이 필요한 경우.
• 셀프 호스팅 러너를 운영하며 그 러너에 대한 위협 탐지가 필요한 경우.

CRACI가 더 적합한 경우

• 워크플로에 대한 결과만이 아니라, 모든 GitHub Actions 작업 안에서 이그레스 정책을 적용하고 싶은 경우.
• 각 빌드가 실제로 가져온 항목의 SBOM을, 감사인에게 제시할 수 있는 완전성 상태와 함께 확보해야 하는 경우.
• 출시한 항목의 모니터링과 빌드 이력을 같은 기록에서 얻고 싶은 경우.

함께 사용하기

Wiz Code의 보안 태세 점검, 코드 스캔, 클라우드 보안은 CRACI가 설계상 다루지 않는 영역이므로 그대로 유지됩니다. CRACI는 GitHub Actions가 아니라 러너를 대체합니다. 워크플로와 리포지토리는 GitHub에 그대로 남으므로, 작업이 CRACI에서 실행되는 동안에도 Wiz는 같은 워크플로 파일을 계속 분석합니다. 또한 CRACI는 더 빠른 하드웨어, 더 짧은 대기 시간, 캐싱 덕분에 GitHub 호스팅 러너보다 약 2배 빠르게 빌드를 실행하며, 빌드 시간에만 요금을 부과합니다. CRACI 요금을 확인하세요.

Cyber Resilience Act 대응

EU Cyber Resilience Act은 SBOM과 취약점 처리 프로세스를 요구하는 여러 프레임워크 중 하나입니다. CRACI는 CRA 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화합니다. CycloneDX 또는 SPDX로 내보내는 빌드 시점 SBOM, 취약점 추적, API를 통한 출처 증명이 여기에 해당합니다. CRA 증거를 확인하세요. 어느 도구도 그 자체만으로 제품을 컴플라이언스 상태로 만들지는 않습니다.

이 분야의 다른 플랫폼은 CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni, 소프트웨어 공급망 보안 도구를 참고하세요.

Wiz에 대해 자주 묻는 질문

Wiz Code란 무엇입니까?

Wiz Code는 Wiz 클라우드 보안 플랫폼의 코드 보안 제품입니다. 코드에서 취약한 종속성, 시크릿, IaC 설정 오류, 민감한 데이터, 멀웨어를 스캔하고, SAST와 서드파티 스캐너 결과를 더하며, 버전 관리와 CI/CD 설정을 벤치마크와 대조해 점검하고, 클라우드 위험을 그 원인이 된 소스 코드까지 추적합니다.

Wiz Code는 GitHub Actions를 보호합니까?

Wiz Code는 GitHub Actions 구성을 분석합니다. 2026년 4월부터 워크플로 YAML 파일을 파싱해 워크플로, 작업, 러너와 그 관계를 Wiz Security Graph에 모델링하고, pull_request_target 같은 위험한 트리거를 표시하며, 위험하거나 과도한 권한에 대해 이슈를 생성하고, 서드파티 액션의 인벤토리를 만들고, 위험한 AI 에이전트 구성을 표시합니다. Wiz의 발표에는 작업이 실행되는 동안 접근할 수 있는 대상을 제어하는 기능에 대한 설명이 없습니다. CRACI는 러너 자체이므로 모든 작업 안에서 이그레스 정책을 적용합니다.

Wiz는 Google 소속입니까?

그렇습니다. Google은 2026년 3월 11일 Wiz 인수를 완료했습니다. Wiz는 AWS, Azure, Google Cloud, Oracle Cloud를 아우르는 멀티 클라우드 플랫폼으로 남는다고 밝히고 있습니다.

Wiz의 요금은 얼마입니까?

Wiz는 정가를 공개하지 않습니다. 2026년 9월 기준 요금 페이지에는 통합 제품군과 개별 선택 옵션이 소개되어 있으며, 견적은 요청 시 제공됩니다. CRACI는 빌드 시간에만 요금을 부과합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며 초 단위로 측정하고 월 요금은 없습니다.

CRACI가 Wiz Code를 대체할 수 있습니까?

전체를 대체할 수는 없습니다. CRACI에는 SAST, 시크릿, IaC, 멀웨어 스캔이 없고, CI/CD 보안 태세 점검과 클라우드 보안도 없습니다. GitHub Actions 빌드에 대해서는 구성 분석으로는 할 수 없는 부분을 CRACI가 더합니다. CRACI는 러너 자체이므로 각 작업이 가져온 패키지를 기록하고, 작업이 실행되는 동안 이그레스 정책을 적용합니다.