Automatisert cyberrobusthet for utviklere og agenter

Gjør hvert bygg til din første forsvarslinje.

Sett leverandørkjedesikkerhet i sentrum av programvaren din med raske, pålitelige runnere som koster mindre.

Kjør ditt første bygg Se hvordan det fungerer

Sikre runnere
SBOM-er fra bygget
Sårbarhetsovervåking
Sårbarhetsrespons

185 pakker registrert
6 tilkoblinger avvist
SBOM fullstendig
Rettet i v2.4.1

Bygg

northwind-controls/web-portal

release.yml #1843 · 5d08e3b
runs-on: craci
size 2 · x86-64
Pakker
185 pakker registrert
- next 15.2.2
- react 19.0.0
- react-dom 19.0.0
- express 4.21.2
- tailwindcss 4.0.14
- typescript 5.8.2
Policy-gate

Bygg #1843 stoppet
CVE-2025-29927 · Critical
Bygg #1844 godkjent
Rettet i next 15.2.3
Utgitt artefakt

ghcr.io/northwind-controls/web-portal:2.4.1

sha256:e2b9…5c07
Utgitt som v2.4.1

Team som bygger på CRACI

Sårbarhetene kommer raskere enn noen retting.

Angripere trenger bare én vei inn, og agenter hjelper dem å finne den raskere enn noen gang. Teamet ditt må tette hvert eneste hull, for det meste manuelt.

2026 så langt

CVE-er publisert per dag: 293; I snitt én per 5 minutter.
Flere per dag enn året før: +124%; Sammenlignet med den daglige raten i 2025.
Vurdert som High eller Critical, hver dag: 148; Ut fra CVSS-poengsummene deres.

CVE-er publisert per dag, etter år
År	CVE-er per dag	High eller Critical per dag
2020	39	7
2021	54	12
2022	68	20
2023	78	28
2024	109	48
2025	131	54
2026 så langt	293	148

Fra den offentlige CVE-listen, oppdatert daglig. Velg et år å sammenligne. Les CVE-rapporten

Hvorfor nå

Varsler har blitt støy.
Når hundrevis av funn haster, haster ingen av dem. Team slutter å styre risiko og begynner å telle varsler.
Volumet løper fra ethvert team.
Prioritering og retting gjøres fortsatt manuelt. Med dette volumet tetter det ikke gapet å ansette flere folk.
Rettinger konkurrerer med funksjoner.
Produktteam måles på å levere funksjoner, så sikkerhetsarbeidet venter på en rolig sprint som aldri kommer.
Skannere bare anslår.
En liste som utledes fra filer etter bygget, går glipp av det som faktisk gikk inn, og falsk trygghet gjør at folk slutter å se etter.

Programvaren din tar form under bygget.

Lockfilen din låser hva som skal installeres. Bygget bestemmer hva som faktisk kommer inn. CRACI registrerer hver pakke idet den kommer inn, med den oppløste versjonen, hvor den kom fra og om den ble gjenopprettet fra en CI-cache.

package-lock.json Det du låste

"packages": {
  …
  
  
  
  
  
  …
}

Viser bare versjoner, ikke hvor hver pakke kom fra eller hvordan den kom inn.

Byggeregistrering #1842 185 pakker registrert

Pakker registrert under eksempelbygg #1842 av northwind-controls/web-portal, gruppert etter hvordan de kom inn i bygget.
Pakke	Oppløst	Kom inn via	Kilde
Via package.json
express via package.json	4.21.2	package.json	registry.npmjs.org
next via package.json Nå rammet av CVE-2025-29927 · Critical	15.2.2	package.json	registry.npmjs.org
react via package.json · fra CI-cache	19.0.0	package.json	CI-cache
react-dom via package.json · fra CI-cache	19.0.0	package.json	CI-cache
styled-jsx via next	5.1.6	next	registry.npmjs.org
Via byggeskript
tailwindcss via byggeskript	4.0.14	byggeskript	registry.npmjs.org
typescript via byggeskript	5.8.2	byggeskript	registry.npmjs.org
og 178 registrerte pakker til

185 pakker registrert · 2 gjenopprettet fra cache

Sikre bygget. Registrer avhengighetene.

Jobbene dine kjører på CRACI-runnere i stedet for GitHub-hostede, dobbelt så raskt. Hver pakke de henter inn, registreres med versjon, kilde og lisens. Alt fra en kilde utenfor policyen din blir avvist.

Secure Build Service

Hver jobb kjører i sin egen isolerte virtuelle maskin, bak en egress-policy som kontrolleres før jobben starter.

Isolert VM
Default-deny egress
Blokkerer ved feil
Varsel ved brudd

Package Analytics

En pakkebevisst proxy registrerer hver pakke en jobb henter inn, med oppløst versjon, kilde og deklarert lisens.

npm
PyPI
RubyGems
Cargo
Go
Nix
OCI
Yocto
med flere

Policyhendelse Bygg #1842

time2025-03-14 09:13:07 UTC
jobrelease.yml #1842
stepnpm run build
policyDefault deny. Allowed: npm, GitHub, ghcr.io, Docker Hub, example.com
denied malicious.example:443
reasonVerten er ikke i policyen
actionBlokkert ved runneren

Tilkobling avvist. Varsel sendt.

Avhengighetsgraf v2.4.0

Utdrag av SBOM CycloneDX 1.7 · JSON

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.7",
  …
  "components": [{
    "name": "next",
    "version": "15.2.2",
    "purl": "pkg:npm/[email protected]",
    "licenses": [
      { "license": { "id": "MIT" } }
    ]
  }, …]
}

Eksporteres som CycloneDX eller SPDX, inkludert transitive avhengigheter og sårbarheter.

CRACI ser trafikken skannere ikke ser.

Andre SBOM-verktøy leser lockfilen eller resultatet av bygget og gjetter hva som gikk inn. CRACI ser hva som faktisk kommer inn i hvert bygg, inkludert de skjulte avhengighetene som hooks under bygget, byggeskript og base-images trekker inn.

Skanner

Konkurrerende skanner

Metode: Leser package-lock.json
Når: Etter bygget
Ser: Det lockfilen oppgir

SBOM-en en skanner lager ut fra lockfilen i eksempelbygg #1842.
Pakke	Versjon	Lisens	Funnet i
next pkg:npm/[email protected]	15.2.2	MIT	package-lock.json
react pkg:npm/[email protected]	19.0.0	MIT	package-lock.json
react-dom pkg:npm/[email protected]	19.0.0	MIT	package-lock.json
express pkg:npm/[email protected]	4.21.2	MIT	package-lock.json
styled-jsx pkg:npm/[email protected]	5.1.6	MIT	package-lock.json
Ikke i noen lockfile, og dermed ikke i SBOM-en
Ikke i noen lockfile, og dermed ikke i SBOM-en
Ikke i noen lockfile, og dermed ikke i SBOM-en

142 pakker oppført 43 mangler

Registrert SBOM

Metode: Ser trafikken i bygget
Når: Under bygget
Ser: Det bygget hentet

SBOM-en CRACI registrerer ut fra trafikken i eksempelbygg #1842.
Pakke	Versjon	Lisens	Hentet fra
next pkg:npm/[email protected]	15.2.2	MIT	registry.npmjs.org
react pkg:npm/[email protected]	19.0.0	MIT	registry.npmjs.org
react-dom pkg:npm/[email protected]	19.0.0	MIT	registry.npmjs.org
express pkg:npm/[email protected]	4.21.2	MIT	registry.npmjs.org
styled-jsx pkg:npm/[email protected]	5.1.6	MIT	registry.npmjs.org
ferdigbygd binærfil skjult via postinstall-hook · pkg:npm/hidden-package	—	—	registry.npmjs.org
2 nedlastinger fra byggeskript skjult via byggeskript · pkg:generic/[email protected]?download_url=example.com/tool	—	—	example.com
40 operativsystempakker i base-image skjult via Dockerfile FROM · pkg:oci/ubuntu	—	—	registry.hub.docker.com

185 pakker registrert 43 flere enn lockfilen viser

Eksempelbygg. Slik fungerer SBOM-er fra bygget

Spor potensielle sårbarheter til de nøyaktige utgivelsene.

CRACI sjekker registrerte SBOM-er kontinuerlig for nye sårbarheter. I dette illustrerende eksempelet blir en kritisk sårbarhet offentliggjort 7 dager etter utgivelsen. Følg byggeregistreringen fra den rammede pakken til teamets retting.

Steg 1 av 4

CVE-2025-29927 blir offentliggjort

next er en direkte avhengighet, og bygg #1842 registrerte den nøyaktige versjonen.

Alvorlighetsgrad: Critical 9.1
Pakke: next
Rammet: 15.0.0 til 15.2.2
Rettet i: 15.2.3

Steg 2 av 4

Én utgivelse er rammet

CRACI matcher den mot den registrerte SBOM-en.

Utgivelse: web-portal v2.4.0
Treff: next 15.2.2, direkte avhengighet
SBOM: Complete

Steg 3 av 4

Den ble levert som dette imaget

Utgivelsen, imaget og SBOM-en holdes sammen.

Image: ghcr.io/northwind-controls/web-portal:2.4.0
Utgivelse: v2.4.0
SBOM: Sporet

Steg 4 av 4

Rettingen har en eier

Prioriter den, send den videre og følg den til en rettet utgivelse.

Eier: Plattformteamet
Tiltak: Oppgrader next til 15.2.3 og bygg på nytt
Rettet i: web-portal v2.4.1, 2025-03-22

Svar hver revisor med bevis.

Hvert bygg etterlater seg dokumentasjon: SBOM-er, sårbarhetsregistreringer og hvordan hver retting nådde en utgivelse. Bruk den i prosessene dine for CRA, NIS2, ISO 27001 og SOC 2, så et spørsmål fra en revisor krever en nedlasting, ikke et prosjekt.

Sammensetning: En SBOM fra bygget for hver utgivelse.

CycloneDX
SPDX
Transitive avhengigheter
Sårbarheter
Deklarerte lisenser
Sårbarhetshåndtering: Registrerte SBOM-er vurderes kontinuerlig på nytt.

Prioritering
Retting
Lagret med utgivelsen
Rapportering: CRACI sender inn på dine vegne.

Tidlig varsel
Varsel
Sluttrapport

Cyber Resilience Act

11. september 2026 Rapporteringspliktene gjelder
11. desember 2027 Forordningen gjelder fullt ut

Les CRA-guiden

Sårbarhetsmelding Utdrag

web-portal v2.4.0

northwind-controls/web-portal · bygg #1842

SBOM: CycloneDX · Complete
Bygg: #1842 · commit 9f3c2e1
Sårbarhet: CVE-2025-29927 · Critical
Komponent: next 15.2.2
Rapporterer til: CSIRT og ENISA, via CRA Single Reporting Platform

Tidslinje for håndteringen

2025-03-14 Utgivelsen bygget og SBOM registrert
2025-03-21 Sikkerhetsvarsel publisert og matchet mot denne utgivelsen
2025-03-21 Prioritert av Produktsikkerhet, tildelt Plattformteamet
2025-03-22 v2.4.1 utgitt med next 15.2.3

SBOM eksporteres som CycloneDX eller SPDX

Kjør ditt første bygg på 5 minutter.

I denne demoen tar vi et TanStack Start-nettsted fra registrering til den første kjøringen på CRACI. Vi kobler til GitHub, sender jobbene videre med runs-on: craci og ser på den første kjøringen. CRACI registrerer hver eksterne avhengighet bygget henter inn, flagger kjente sårbarheter og sporer hver av dem tilbake til jobben som hentet den inn.

Se hvordan CRACI passer inn i leveranseflyten din.

CRACI erstatter runneren, ikke GitHub Actions. Workflowene, gjennomgangene og utrullingsstegene dine forblir som de er.

Koble til GitHub-appen

På alle repositorier eller bare dem du velger.
Oppdater runneren

Sett runs-on: craci i workflowen. Ingenting annet endres.
Kjør neste bygg

Kjøringene vises fortsatt i GitHub. Byggeregistreringen og SBOM-en vises i CRACI.

Runnere: Administrerte Linux-runnere på x86-64 og ARM64, på europeisk infrastruktur.
Bygg: Docker Engine, Buildx og Compose v2. Yocto- og BitBake-bygg er dokumentert.
Koden og dataene dine: CRACI behandler kildekode under bygget ditt og lagrer den ikke. Byggedata driftes i Europa. Innholdet i cachen avhenger av hva workflowene dine lagrer. Les sikkerhetssiden.
På veikartet: GitLab, Jenkins og andre CI-systemer, Windows- og macOS-runnere, lokale runnere (on-prem), Maven og Java.

Kjør ditt første bygg Se hvordan CRACI fungerer

Spørsmål team stiller før en demo

Kompatibilitet, oppsett, sikkerhet og datahåndtering.

Hvilke CI-miljøer og pakkeøkosystemer støttes?

GitHub Actions er den støttede CI-integrasjonen i dag, og andre CI-systemer står på veikartet. CRACI registrerer npm-, PyPI-, RubyGems-, Cargo-, Go-, Nix- og OCI-registre, pakkerepositorier for Debian, Ubuntu og Alpine, samt Git og andre kildenedlastinger. Maven og Java står på veikartet. Runnerne er Linux på x86-64 og ARM64.

Hva krever oppsettet?

Du kobler til CRACIs GitHub-app på alle eller utvalgte repositorier og setter runs-on: craci i workflowen. CRACI erstatter runneren, ikke GitHub Actions, så kjøringene dine vises fortsatt i GitHub.

Hvilke data får CRACI tilgang til, og hvor lagres de?

GitHub-appen leser koden din og Actions-kjøringene dine, og administrerer runnerne den registrerer for organisasjonen din. CRACI behandler kildekode under bygget ditt og lagrer den ikke. Byggedata, inkludert metadata, pakkedata, nettverksspor, SBOM-er, provenance, cacher og revisjonslogger, driftes i Europa, med tilpasset oppbevaringstid på Enterprise. Innholdet i cachen avhenger av hva workflowene dine lagrer. Les om sikkerhet og datahåndtering.

Blokkerer eller varsler CRACI? Hva skjer med et bygg som bryter en policy?

Egress-policyen håndheves ved runneren. Den valideres før jobben starter og blokkerer ved feil, så en tilkobling utenfor policyen blir avvist, og du får et varsel. Policy-gates kan også stoppe et bygg i sanntid.

Hvilke formater kan jeg eksportere?

SBOM-er eksporteres som CycloneDX eller SPDX, inkludert transitive avhengigheter, sårbarheter og deklarerte lisenser.

Hva er tilgjengelig i dag, og hva står på veikartet?

Tilgjengelig i dag: administrerte Linux-runnere for GitHub Actions, SBOM-er fra bygget med sårbarheter, egress-policy, kontinuerlig sårbarhetsovervåking med prioritering, og policy-gates. På veikartet: GitLab, Jenkins og andre CI-systemer, Windows- og macOS-runnere og lokale runnere (on-prem).

Støttet av