2026년 하루 평균 보고된 CVE가 전년 대비 131% 증가했습니다.

모든 빌드에서 SBOM 내보내기와 CRA 증거

빌드 중 기록된 SBOM, API로 제공되는 빌드 기록, 수정된 릴리스까지 이어지는 취약점 기록: 기술 문서의 근거가 되는 증거입니다

CycloneDX 또는 SPDX 형식의 빌드 시점 SBOM

CRACI는 각 빌드가 CRACI 러너에서 실행되는 동안 SBOM을 기록하므로, CI 캐시에서 복원된 패키지를 포함해 작업이 실제로 가져온 패키지가 SBOM에 나열됩니다. 모든 SBOM은 CycloneDX 또는 SPDX로 내보낼 수 있으며, 전이적 종속성, 해당 구성 요소에서 발견된 취약점, 각 구성 요소의 선언된 라이선스를 담습니다. 각 작업의 SBOM에는 완전성 상태도 함께 표시됩니다.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

API로 제공되는 SBOM, 네트워크 추적, 출처 증명

공개 REST API는 작업의 SBOM, 네트워크 추적, 출처 증명 데이터를 반환하므로, 빌드 기록을 자체 문서와 도구로 바로 가져갈 수 있습니다. SBOM API는 CycloneDX 1.7 JSON을 반환합니다.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

분류부터 수정된 릴리스까지 이어지는 취약점 기록

모니터링 중인 SBOM은 새로운 취약점이 공개될 때마다 재평가됩니다. 보안 팀은 각 발견 사항을 분류해 수정 책임이 있는 팀에 전달하고, CRACI는 수정된 릴리스가 나올 때까지 기록을 유지합니다. 빌드 기록에는 과거의 모든 빌드와 그 SBOM, 그리고 취약한 종속성을 직접 또는 전이적으로 포함한 빌드가 표시되므로 노출 기간을 파악할 수 있습니다.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

알려진 문제의 유입을 막는 정책 게이트

정책 게이트는 특정 CVE가 포함된 빌드를 비롯해 발견 사항과 라이선스를 기준으로 빌드를 실시간으로 중단할 수 있습니다. 또한 모든 빌드는 러너에서 적용되는 이그레스 정책 아래에서 실행됩니다. 이 정책은 작업 시작 전에 검증되고, 문제가 있으면 차단하는 방식(fail closed)으로 동작하며, 정책 위반 시 알림을 보냅니다.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

CRA 기술 문서를 위한 증거

EU Cyber Resilience Act에 따라 제조사는 기술 문서를 작성하고, 적합성 평가를 수행하며, EU 적합성 선언서를 작성합니다. CRACI는 이 단계들을 대신하지 않습니다. CRACI는 빌드에서 나오는 증거, 즉 SBOM, 취약점 및 수정 조치 기록, 출처 증명 데이터를 제공합니다. 또한 CRACI는 고객이 제출할 CRA 취약점 통보, 즉 조기 경보, 통보, 최종 보고서의 내용을 준비합니다.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Prepared for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

빌드가 만들어 내는 증거를 확인하세요

데모를 예약하고 CRACI의 SBOM 내보내기, API, 취약점 추적을 확인하세요

데모 예약