CRACI vs Xygeni

Het korte antwoord

Xygeni is een platform voor applicatiebeveiliging uit Valladolid, Spanje. Het beschrijft zichzelf als "one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end". De modules dekken SAST, SCA met reachability en malwaredetectie, secrets, IaC, containers, CI/CD-beveiliging, buildbeveiliging met SLSA- en in-toto-attestaties, anomaliedetectie, DAST, API-beveiliging en een ASPM-laag. Het publiceert zijn prijzen en heeft een gratis plan. Het draait geen builds: het sluit aan op de CI-systemen die u al gebruikt.

CRACI concurreert om hetzelfde budget voor ketenbeveiliging vanuit een andere positie. Het is de runner voor GitHub Actions: het legt de pakketten vast die elke job daadwerkelijk binnenhaalde, dwingt een egressbeleid af terwijl de job draait en blijft monitoren wat is geleverd. Xygeni is binnen AppSec veel breder; CRACI gaat dieper in op de build en wat die heeft opgeleverd.

In één oogopslag

"Niet vermeld" betekent dat we het niet konden bevestigen op de openbare pagina's van Xygeni.

Waar Xygeni sterk in is

• Breedte in één platform. SAST met AI-autofix, SCA met reachability en automatische pull requests voor upgrades, detectie van secrets met automatische intrekking, scans van IaC en containerimages, en, op Enterprise, DAST, API-beveiliging en ASPM met import van gegevens van derden.
• Malware in open source. Xygeni zegt dat het elke dag duizenden nieuwe en bijgewerkte open-sourcepakketten analyseert, een engine met ML-ondersteuning gebruikt om onbekende malware te detecteren, verdachte pakketten in quarantaine plaatst en ze kan blokkeren met een dependency firewall. Dat gaat verder dan het matchen van CVE's.
• CI/CD-beveiliging. Het zoekt naar misconfiguraties in buildscripts en pipelines, pakt de OWASP Top 10 CI/CD-risico's aan, controleert instellingen zoals branch protection en meervoudige authenticatie, en markeert schadelijke opdrachten in pipelines, zoals reverse shells en malwaredownloads.
• Buildattestaties. Build Security voegt één regel aan een pipeline toe om bewijs uit elke fase van de build te verzamelen en SLSA-herkomstgegevens en in-toto-attestaties te genereren, ondertekend met keyless handtekeningen. Attestaties kunnen kwetsbaarheidsscans, SBOM's in SPDX of CycloneDX en testresultaten bevatten, en gemanipuleerde artefacten kunnen vóór levering worden geblokkeerd.
• Anomaliedetectie. Sensoren voor GitHub, GitLab, Jenkins en Azure letten op ongeautoriseerde wijzigingen in code, afhankelijkheden, pipelines en buildconfiguratie, en waarschuwen in realtime.
• Brede CI-dekking en gepubliceerde prijzen. Xygeni noemt integraties met GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI en Travis CI, en biedt on-premises deployment op Enterprise.

Waarin CRACI verschilt

Vastgelegd uit de build, niet gelezen uit beschrijvingen

De documentatie van Xygeni zegt dat de analyzers afhankelijkheidsbeschrijvingen verwerken om directe en indirecte afhankelijkheden te extraheren en hun versies te bepalen. Dat is de standaardmanier om een SBOM uit een repository te bouwen. CRACI ziet in plaats daarvan het verkeer dat elke build binnenkomt: een proxy die pakketten herkent, legt elk pakket vast dat de job ophaalde uit npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Pakketten die uit CI-caches worden teruggezet, blijven in de vastlegging.

Zo legt CRACI de verborgen afhankelijkheden vast die tools op basis van lockfiles missen: code die door npm-installhooks wordt gedownload, Rust-buildscripts die tijdens de build iets ophalen, en de base-imagelagen van een containerbuild. Elke SBOM heeft een volledigheidsstatus per job en per cache (Complete, Complete with connections, Incomplete, Unavailable of Not recorded), dus zit er een gat in de vastlegging, dan staat dat erbij.

Controle terwijl de build draait

De CI/CD-controles van Xygeni kijken naar hoe pipelines zijn geconfigureerd en welke opdrachten ze bevatten. CRACI beperkt wat de build kan bereiken. Egressbeleid staat standaard op weigeren of toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Het wordt gevalideerd voordat de job start en werkt fail-closed. Omdat een beleid dat standaard weigert alleen toestaat wat de build nodig heeft, wordt een gecompromitteerd pakket dat uw secrets naar een onbekende host probeert te sturen geblokkeerd, zelfs bij een aanval die nog niemand heeft gezien, en CRACI stelt u op de hoogte van de overtreding.

Herkomst en monitoring uit één vastlegging

Xygeni ondertekent attestaties vanuit een stap die is toegevoegd aan de pipeline die u draait. De vastlegging van CRACI komt van de runner waarop de job draaide: de API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet en claimt geen SLSA-niveau. CRACI blijft de SBOM's van wat u hebt geleverd opnieuw beoordelen wanneer nieuwe kwetsbaarheden worden gepubliceerd, en toont elke eerdere build die een kwetsbare afhankelijkheid bevatte, zodat u weet hoe lang u blootgesteld was.

De runner is onderdeel van het product

Omdat CRACI de runner is, komt het bewijs samen met de rekenkracht: runs blijven in GitHub verschijnen, en CRACI draait builds ongeveer twee keer zo snel als door GitHub gehoste runners, dankzij snellere hardware, kortere wachtrijen en caching. CRACI brengt alleen buildminuten in rekening, $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandbedrag en zonder kosten per SBOM. Zie de prijzen van CRACI.

Wat past bij u

Xygeni past beter als

• U één AppSec-platform wilt voor SAST, SCA, secrets, IaC, containers en pipelineconfiguratie.
• U kwaadaardige open-sourcepakketten wilt detecteren en blokkeren voordat er een advisory bestaat.
• U bouwt op GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI of Travis CI.
• U SLSA- en in-toto-attestaties nodig hebt, of een on-premises deployment.
• Een klein team wil beginnen met een gratis plan met gepubliceerde prijzen.

CRACI past beter als

• U op GitHub Actions bouwt en de runner, het egressbeleid en de vastlegging van afhankelijkheden op één plek wilt.
• U een SBOM nodig hebt van wat elke build daadwerkelijk ophaalde, met een volledigheidsstatus die u een auditor kunt tonen.
• U monitoring van wat is geleverd en buildgeschiedenis uit dezelfde vastlegging wilt.

Wat u opgeeft door buildbewijs naar CRACI te verplaatsen

Voor de software die u op GitHub Actions bouwt, neemt CRACI de taak van de SBOM-export van Xygeni over: de vastlegging, de herkomstgegevens en de monitoring komen van de runner. Om duidelijk te zijn over wat dat kost: CRACI heeft geen reachability-analyse, detecteert nieuwe kwaadaardige pakketten niet op gedrag of reputatie (het markeert bekende kwaadaardige releases zodra een advisory met een CVE is gepubliceerd), opent geen pull requests voor upgrades, ondertekent geen herkomstgegevens, claimt geen SLSA-niveau, heeft geen anomaliedetectie over broncodebeheer heen, en draait vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.

De SAST, secrets, IaC en CI/CD-posturecontroles van Xygeni dekken terrein waar CRACI bewust niet aan komt, dus die kunnen blijven waar ze zijn. CRACI vervangt de runner, niet GitHub Actions, dus een scanstap draait op een CRACI-runner zoals elke andere stap.

Voor de Cyber Resilience Act

De Cyber Resilience Act is een van de kaders die om een SBOM en een proces voor het afhandelen van kwetsbaarheden vragen. Xygeni noemt op het Business-plan compliancecontroles voor de softwareketen aan de hand van CIS en OpenSSF. CRACI automatiseert een aanzienlijk deel van het inzicht in de keten en het bewijs dat een CRA-proces nodig heeft: SBOM's uit de build, geëxporteerd als CycloneDX of SPDX, het volgen van kwetsbaarheden en herkomstgegevens via de API. Zie CRA-bewijs. Geen van beide tools maakt een product op zichzelf compliant.

Zie voor andere platforms in dit veld CRACI vs Cycode, CRACI vs OX Security, CRACI vs Wiz en tools voor ketenbeveiliging van software.

Vragen over Xygeni, beantwoord

Wat is Xygeni?

Xygeni is een platform voor applicatiebeveiliging uit Valladolid, Spanje. Het combineert eigen scanners (SAST, SCA met reachability en malwaredetectie, secrets, IaC, containers, CI/CD-beveiliging, en optioneel DAST en API-beveiliging) met een ASPM-laag, plus buildbeveiliging met SLSA- en in-toto-attestaties en anomaliedetectie over broncodebeheer en CI-systemen heen.

Wat kost Xygeni?

Per september 2026 toont de prijzenpagina van Xygeni een gratis plan met SAST, SCA, secrets en een IDE-plug-in voor maximaal 10 repositories, 200 scans per maand en 5 contributors. Team begint bij ongeveer $3,828 (€3,300) per jaar en Business bij ongeveer $6,844 (€5,900) per jaar, elk inclusief 10 contributors, en Enterprise is op offerte. Een contributor is iedereen die in de afgelopen 90 dagen naar een gescande repository heeft gecommit. Build Security en Anomalies Detection zijn Enterprise-opties.

Levert Xygeni CI-runners?

Nee. Xygeni integreert met de CI-systemen die u draait, zoals GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI en Travis CI, en voegt zijn scanners en attestatiestap aan uw pipelines toe. CRACI is de runner: GitHub Actions-jobs draaien op CRACI, dat vastlegt wat elke job ophaalde en bepaalt wat die kan bereiken.

Wat is het verschil tussen Xygeni en CRACI?

Xygeni is een breed AppSec-platform dat code, afhankelijkheden, secrets, IaC en pipelineconfiguratie scant op veel CI-systemen. CRACI is een GitHub Actions-runner die de pakketten vastlegt die elke build daadwerkelijk ophaalde, tijdens het draaien een egressbeleid afdwingt en blijft monitoren wat is geleverd. Xygeni is veel breder; CRACI legt de build zelf vast.

Kan CRACI Xygeni vervangen?

Voor het buildbewijs van software die u op GitHub Actions bouwt, ja: de vastgelegde SBOM, herkomstgegevens en monitoring van kwetsbaarheden van CRACI dekken die taak. CRACI vervangt niet de SAST, secrets, IaC, CI/CD-posturecontroles, malwaredetectie of reachability-analyse van Xygeni, en het draait vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.