CRACI vs Apiiro

Het korte antwoord

Apiiro is een platform voor application security posture management (ASPM). De Deep Code Analysis brengt uw softwarearchitectuur in kaart van code tot runtime, en de Risk Graph correleert bevindingen van de eigen scanners van Apiiro en van tools van derden. De module voor software supply chain security (SSCS) inventariseert repositories en pipelines en signaleert risico's zoals zwakke branchbeveiliging, verkeerd geconfigureerde pipelines en afwijkende commits.

CRACI dingt mee naar hetzelfde budget voor "onze softwareketen beveiligen", maar vanuit een andere positie: het voert uw GitHub Actions-jobs uit. Apiiro redeneert over wat uw code en pipelineconfiguratie zeggen dat er zal gebeuren. CRACI legt vast wat de build heeft gedaan, beheerst het uitgaande netwerkverkeer ervan en blijft in de gaten houden wat u hebt geleverd. Een groot AppSec-programma kan beide gebruiken. Een team dat in de eerste plaats bewijs nodig heeft van wat er in elke release is gegaan, kan met CRACI beginnen.

In één oogopslag

Waar Apiiro goed in is

• Architectuurcontext zonder CI-wijzigingen. Apiiro maakt via een API-integratie verbinding met uw broncodebeheer en zegt geen CI/CD-configuratie of -onderhoud nodig te hebben. Deep Code Analysis brengt vervolgens API's, gevoelige gegevens, GenAI-frameworks en code-eigenaarschap in kaart, bijgewerkt bij elke commit en elke wezenlijke wijziging.
• Beveiliging voor AI-codering. Guardian Agent, gelanceerd in januari 2026, werkt samen met AI-codeerassistenten en voegt beveiligingsrichtlijnen uit uw threat models, compliancebeleid en architectuur toe aan de prompts van ontwikkelaars, zodat de assistent wordt weggestuurd van kwetsbare code voordat hij die schrijft. AI Threat Modeling volgde in maart 2026.
• Breedte. Apiiro noemt native AI SAST, AI SCA, SSCS, secrets, infrastructure as code, API-beveiliging in code, DSPM voor code en AI threat modeling. CRACI doet geen van de codescans in die lijst.
• Prioritering. De Risk Graph verwerkt, ontdubbelt en correleert bevindingen en koppelt ze vervolgens aan elkaar tot "toxic combinations". Het voorbeeld van Apiiro: een repository met persoonsgegevens, gebouwd door een kwetsbare pipeline, die commits ontvangt op een branch zonder verplichte reviewers. Drie middelzware bevindingen worden één kritiek risico.
• Inventaris van de softwarefabriek. SSCS inventariseert repositories en CI/CD-pipelines, inclusief shadow pipelines, met bijdragers, rechten, plug-ins en afhankelijkheden. Het volgt kwetsbaarheden in pipelineafhankelijkheden door hun hele levenscyclus, en guardrails kunnen riskante commits en merges blokkeren.
• Afhankelijkheidsanalyse en fixes. AI SCA controleert of een kwetsbare functie daadwerkelijk wordt aangeroepen, koppelt afhankelijkheden aan uitgerolde containers en publieke endpoints, detecteert kwaadaardige pakketten en dwingt licentiebeleid af. AutoFix levert versie-updates die volgens Apiiro vooraf zijn gevalideerd op API-compatibiliteit.
• Integraties. GitHub, GitLab, Azure DevOps, Bitbucket en Perforce aan de kant van broncodebeheer, Jenkins en GitHub Actions voor pipelineposture, en een lange lijst scanners, registries en ticketingtools.

Waar CRACI anders is

De build is de bron van waarheid

De XBOM van Apiiro wordt opgebouwd door code te analyseren: elk pakket, elke API, elk AI-model en elke licentie, bijgewerkt bij elke codewijziging. Dat geeft een sterk beeld van wat uw code declareert en gebruikt. Een build doet vaak meer dan de code zegt. Hij voert installatiescripts uit, downloadt toolchains, zet caches terug, haalt base images op en downloadt release-binaries.

CRACI ziet die activiteit omdat het de runner is. Een proxy die pakketten herkent, observeert tijdens de job het verkeer naar pakketbronnen, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, zodat een pakket dat uit een cache wordt teruggezet nog steeds wordt verantwoord. Elke SBOM heeft een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. U weet wanneer de vastlegging een hiaat heeft.

Controle op de runner, niet alleen posture

Apiiro vertelt u wanneer een pipeline verkeerd is geconfigureerd of vatbaar is voor manipulatie. CRACI beperkt wat een build tijdens de uitvoering kan bereiken. Egressbeleid staat standaard op weigeren of standaard op toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Het wordt gevalideerd voordat de job start en werkt fail-closed, en CRACI kan u waarschuwen bij een overtreding.

Buildbewijs via de API

De API levert SBOM's, netwerktraces en herkomstgegevens.

Na de levering

CRACI blijft de SBOM's van wat u hebt geleverd opnieuw beoordelen zodra nieuwe kwetsbaarheden worden gepubliceerd, en bundelt bevindingen over builds en repositories heen.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies op welke producten zijn uitgerold, wereldwijd. Wanneer er een nieuwe kwetsbaarheid opduikt, ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te puzzelen uit releasenotes en spreadsheets.

Waar Apiiro voorloopt

Om het duidelijk te zeggen: CRACI heeft geen scanning voor SAST, secrets, IaC of API-beveiliging, verwerkt geen bevindingen van andere scanners, controleert geen branchbeveiliging of repositoryrechten, en ondersteunt momenteel alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. CRACI blokkeert wel builds via policy gates en dwingt licentiebeleid af. Als u één platform nodig hebt dat risico's over al uw code prioriteert, bestrijkt Apiiro veel meer terrein.

Welke past het best

Apiiro past beter wanneer

• U één ASPM-platform wilt voor veel scanners, repositories en SCM-systemen.
• Uw prioriteit architectuurcontext is: welke code aan internet is blootgesteld, persoonsgegevens verwerkt of wezenlijk is gewijzigd.
• U posture van repositories en pipelines nodig hebt voor GitLab, Azure DevOps, Bitbucket of Jenkins.

CRACI past beter wanneer

• U op GitHub Actions bouwt en de runner, het egressbeleid en de vastlegging van afhankelijkheden op één plek wilt.
• U een SBOM nodig hebt van wat elke build heeft opgehaald, met een volledigheidsstatus die u aan een auditor kunt laten zien.
• U monitoring wilt van wat is geleverd, en CRA-bewijs.

Beide gebruiken

Apiiro beschrijft zichzelf nu als beveiliging voor agentic development. De Guardian Agent stuurt AI-codeerassistenten naar veilige code voordat die wordt geschreven, en de XBOM komt voort uit de analyse van de code in uw repositories. CRACI is CI/CD met de beveiliging ingebouwd in de runner, dus de SBOM legt vast wat elke build daadwerkelijk heeft opgehaald, inclusief wat codeanalyse niet kan zien: installatiescripts, toolchains, gecachete pakketten en base images. Apiiro werkt waar code wordt geschreven, CRACI waar die wordt gebouwd en geleverd. CRACI vervangt de runner, niet GitHub Actions, dus elke pipeline-integratie van Apiiro blijft werken.

Voor de Cyber Resilience Act

De Cyber Resilience Act vraagt fabrikanten de componenten in elk product te kennen, kwetsbaarheden daarin af te handelen en bewijs te bewaren. Een ASPM-platform helpt bij veilige ontwikkeling en bij het afhandelen van kwetsbaarheden in uw code. CRACI automatiseert een aanzienlijk deel van het inzicht in en bewijs over de softwareketen dat bedrijven nodig hebben voor hun bredere CRA-complianceproces: SBOM's tijdens de build, het volgen van kwetsbaarheden, herkomst en SBOM-export als CycloneDX of SPDX. Geen van beide tools maakt u op zichzelf compliant. Zie CRA-compliance.

CRACI toevoegen

Installeer de CRACI GitHub App in uw organisatie en wijzig daarna het runnerlabel van een job in runs-on: craci. Runs verschijnen nog steeds in de GitHub-interface. Begin met één workflow die een release-artefact oplevert en vergelijk de SBOM van CRACI met uw huidige inventaris. Lees meer over CI/CD-integratie, SBOM-generatie tijdens de build en prijzen.