CRACI vs Wiz

Het korte antwoord

Wiz is een cloudbeveiligingsplatform en sinds 11 maart 2026 onderdeel van Google. Wiz Code is het product voor codebeveiliging: het scant code, afhankelijkheden, secrets en IaC, controleert instellingen van versiebeheer en CI/CD, en verbindt wat het vindt met de cloudresources waarop de code uiteindelijk draait. In april 2026 breidde Wiz dat product uit naar GitHub Actions: het parseert nu workflowbestanden, modelleert workflows, jobs en runners in zijn Security Graph, en markeert riskante triggers, rechten, actions van derden en configuraties van AI-agents.

Dat is configuratieanalyse: het vertelt u welke workflows misbruikt zouden kunnen worden. CRACI werkt een laag dieper. Het is de runner voor GitHub Actions, dus het legt de pakketten vast die elke job daadwerkelijk binnenhaalde, dwingt een egressbeleid af terwijl de job draait en blijft monitoren wat is geleverd. Wiz dekt veel meer terrein, van code tot cloud; CRACI dekt wat er binnen de build gebeurt.

In één oogopslag

"Niet vermeld" betekent dat we het niet konden bevestigen op de openbare pagina's van Wiz.

Waar Wiz sterk in is

Code to cloud

• Cloudcontext. De kern van Wiz is cloudbeveiliging voor AWS, Azure, Google Cloud en Oracle Cloud. Het scant VM's, containers en serverless functies zonder agents, en rangschikt kwetsbaarheden met context uit de Security Graph: netwerkblootstelling, identiteiten, gevoeligheid van gegevens en aanvalspaden.
• Code-to-cloud-koppeling. Wiz Code herleidt een risico dat in de cloud is gevonden tot de broncode die het heeft veroorzaakt, en stelt de fix in die code voor. Voor een team dat Wiz al gebruikt, komen codebevindingen in dezelfde graph terecht als al het andere.
• Scannen op één plek. SCA en SBOM voor directe en transitieve afhankelijkheden, IaC-scans van Terraform, CloudFormation, Azure Resource Manager, Kubernetes en Docker aan de hand van meer dan 1.000 regels, secrets in code, IaC-templates en containerimages, gevoelige gegevens zoals PII en PHI, en malwarescans van de codebase "before it reaches your CI runners". Wiz SAST en bevindingen van scanners van derden maken het beeld compleet.

GitHub Actions en CI/CD-posture

• Workflows in de graph. Wiz parseert YAML van GitHub Actions-workflows en modelleert workflows, jobs, runners en hun relaties, zodat een pipeline een doorzoekbare asset wordt met context over wat hem start en waar hij bij kan.
• Riskante configuratie. Het markeert gevaarlijke triggers zoals pull_request_target, analyseert de rechten die in workflowbestanden zijn gedeclareerd en meldt problemen bij riskante of te ruime rechten, brengt riskante inputs en mogelijke secretlekken in pipelinedefinities aan het licht, inventariseert de actions van derden die elke workflow gebruikt, en markeert AI-agents in workflows die vatbaar zijn voor prompt injection.
• Benchmarks. Wiz Code controleert versiebeheer- en CI/CD-systemen op misconfiguraties en onveilige standaardinstellingen, met OpenSSF Best Practices, de OWASP Top 10 CI/CD Risks en CIS-benchmarks voor GitHub en GitLab.
• Dreigingsdetectie. Wiz leest auditlogs van versiebeheer- en CI/CD-platforms in om gebeurtenissen te signaleren zoals een verdachte clone of een verwijderde branch protection rule, en de Sensor op self-hosted CI-runners kan verdachte activiteit detecteren, zoals een runner die contact maakt met een cryptominingdomein.

Waarin CRACI verschilt

Handhaving binnen de job, geen bevindingen erover

De aankondiging van Wiz beschrijft inventaris, analyse en bevindingen. Ze beschrijft niet het bepalen van wat een job kan bereiken terwijl die draait. Het egressbeleid van CRACI is onderdeel van de runner. Beleid staat standaard op weigeren of toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Het wordt gevalideerd voordat de job start en werkt fail-closed, en CRACI waarschuwt u bij een overtreding.

Dit is belangrijk omdat aanvallen op de softwareketen draaien binnen jobs die correct geconfigureerd lijken. Het eigen onderzoek van Wiz naar de tweede Shai-Hulud-golf wees uit dat de meeste infecties in CI/CD-pipelines draaiden. Een posture-bevinding kan u vertellen dat een workflow blootstaat; ze kan een gecompromitteerd pakket dat al draait niet stoppen. Met een beleid dat standaard weigert, wordt een verbinding met een host die de build niet nodig heeft geblokkeerd, zelfs bij een aanval die nog niemand heeft gezien.

Wat de build ophaalde, niet wat de code declareert

De SCA van Wiz Code scant de afhankelijkheden in uw code, en de agentless SBOM's beschrijven cloudworkloads. CRACI ziet het verkeer dat elke build binnenkomt: een proxy die pakketten herkent, legt elk pakket vast dat de job ophaalde uit npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets, inclusief pakketten die uit CI-caches zijn teruggezet. Zo legt CRACI de verborgen afhankelijkheden vast die tools op basis van lockfiles missen, zoals code die door npm-installhooks wordt gedownload of de base-imagelagen van een containerbuild. De GitHub Actions die een workflow draaide, staan ook in de SBOM, vastgepind op de gebruikte commit. Elke SBOM heeft een volledigheidsstatus per job en per cache, dus zit er een gat in de vastlegging, dan staat dat erbij.

Bewijs uit de build

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet en claimt geen SLSA-niveau. CRACI blijft de SBOM's van wat u hebt geleverd opnieuw beoordelen wanneer nieuwe kwetsbaarheden worden gepubliceerd, en toont elke eerdere build die een kwetsbare afhankelijkheid bevatte, zodat u weet hoe lang u blootgesteld was.

Waar Wiz voorloopt

Om het duidelijk te zeggen: CRACI heeft geen scans voor SAST, secrets, IaC of malware, geen CI/CD-posturecontroles, geen procesmonitoring op runners, geen cloudbeveiliging en geen code-to-cloud-koppeling. Het draait vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Is uw prioriteit één beeld van risico's van code tot cloud, dan dekt Wiz veel meer.

Wat past bij u

Wiz past beter als

• U Wiz al gebruikt voor cloudbeveiliging en code- en pipelinerisico's in dezelfde graph wilt.
• U riskante workflowtriggers, rechten en actions van derden wilt vinden in veel repositories.
• U scans voor SAST, secrets, IaC en malware nodig hebt met cloudcontext voor prioritering.
• U self-hosted runners draait en daarop dreigingsdetectie wilt.

CRACI past beter als

• U een egressbeleid wilt dat binnen elke GitHub Actions-job wordt afgedwongen, niet alleen bevindingen over de workflow.
• U een SBOM nodig hebt van wat elke build daadwerkelijk ophaalde, met een volledigheidsstatus die u een auditor kunt tonen.
• U monitoring van wat is geleverd en buildgeschiedenis uit dezelfde vastlegging wilt.

Beide gebruiken

De posturecontroles, codescans en cloudbeveiliging van Wiz Code dekken terrein waar CRACI bewust niet aan komt, dus die blijven waar ze zijn. CRACI vervangt de runner, niet GitHub Actions: uw workflows en repositories blijven in GitHub, dus Wiz blijft dezelfde workflowbestanden analyseren terwijl de jobs op CRACI draaien. CRACI draait builds bovendien ongeveer twee keer zo snel als door GitHub gehoste runners, dankzij snellere hardware, kortere wachtrijen en caching, en brengt alleen buildminuten in rekening. Zie de prijzen van CRACI.

Voor de Cyber Resilience Act

De Cyber Resilience Act is een van de kaders die om een SBOM en een proces voor het afhandelen van kwetsbaarheden vragen. CRACI automatiseert een aanzienlijk deel van het inzicht in de keten en het bewijs dat een CRA-proces nodig heeft: SBOM's uit de build, geëxporteerd als CycloneDX of SPDX, het volgen van kwetsbaarheden en herkomstgegevens via de API. Zie CRA-bewijs. Geen van beide tools maakt een product op zichzelf compliant.

Zie voor andere platforms in dit veld CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni en tools voor ketenbeveiliging van software.

Vragen over Wiz, beantwoord

Wat is Wiz Code?

Wiz Code is het codebeveiligingsdeel van het cloudbeveiligingsplatform van Wiz. Het scant code op kwetsbare afhankelijkheden, secrets, IaC-misconfiguraties, gevoelige gegevens en malware, voegt SAST en bevindingen van scanners van derden toe, toetst instellingen van versiebeheer en CI/CD aan benchmarks, en herleidt cloudrisico's tot de broncode die ze heeft veroorzaakt.

Beveiligt Wiz Code GitHub Actions?

Wiz Code analyseert de configuratie van GitHub Actions. Sinds april 2026 parseert het YAML-bestanden van workflows en modelleert het workflows, jobs, runners en hun relaties in de Wiz Security Graph, markeert het gevaarlijke triggers zoals pull_request_target, meldt het problemen bij riskante of te ruime rechten, inventariseert het actions van derden en markeert het riskante configuraties van AI-agents. De aankondiging van Wiz beschrijft niet het bepalen van wat een job kan bereiken terwijl die draait. CRACI is de runner, dus het dwingt in elke job een egressbeleid af.

Is Wiz onderdeel van Google?

Ja. Google heeft de overname van Wiz op 11 maart 2026 afgerond. Wiz zegt dat het een multicloudplatform blijft dat AWS, Azure, Google Cloud en Oracle Cloud dekt.

Wat kost Wiz?

Wiz publiceert geen catalogusprijzen. Per september 2026 beschrijft de prijzenpagina geïntegreerde aanbiedingen en à-la-carteopties, met offertes op aanvraag. CRACI brengt alleen buildminuten in rekening: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandbedrag.

Kan CRACI Wiz Code vervangen?

Niet als geheel. CRACI heeft geen scans voor SAST, secrets, IaC of malware, geen CI/CD-posturecontroles en geen cloudbeveiliging. Voor GitHub Actions-builds voegt CRACI toe wat configuratieanalyse niet kan: het is de runner, dus het legt de pakketten vast die elke job ophaalde en dwingt een egressbeleid af terwijl de job draait.