CRACI vs. Apiiro

Det korte svaret

Apiiro er en plattform for application security posture management (ASPM). Deep Code Analysis kartlegger programvarearkitekturen din fra kode til kjøretid, og Risk Graph kobler sammen funn fra Apiiros egne skannere og fra tredjepartsverktøy. Modulen for software supply chain security (SSCS) lager en oversikt over repositorier og pipelines og flagger risikoer som svak grenbeskyttelse, feilkonfigurerte pipelines og unormale commits.

CRACI konkurrerer om det samme budsjettet for å «sikre programvareleverandørkjeden» fra en annen posisjon: Det kjører GitHub Actions-jobbene dine. Apiiro resonnerer om hva koden og pipeline-konfigurasjonen din sier vil skje. CRACI registrerer hva bygget gjorde, kontrollerer nettverkstrafikken ut og følger med på det du har levert. Et stort AppSec-program kan kjøre begge. Et team som først og fremst trenger dokumentasjon på hva som gikk inn i hver utgivelse, kan begynne med CRACI.

Kort oppsummert

Hva Apiiro gjør bra

• Arkitekturkontekst uten CI-endringer. Apiiro kobles til kildekodeforvaltningen din via en API-integrasjon og sier at det ikke trenger noen CI/CD-konfigurasjon eller vedlikehold. Deep Code Analysis kartlegger deretter API-er, sensitive data, GenAI-rammeverk og kodeeierskap, oppdatert ved hver commit og hver vesentlig endring.
• Sikkerhet for AI-koding. Guardian Agent, lansert i januar 2026, jobber sammen med AI-kodeassistenter og legger sikkerhetsretningslinjer fra trusselmodellene, compliance-policyene og arkitekturen din inn i utviklernes prompter, slik at assistenten styres bort fra sårbar kode før den skriver den. AI Threat Modeling fulgte i mars 2026.
• Bredde. Apiiro oppgir innebygd AI SAST, AI SCA, SSCS, hemmeligheter, infrastruktur som kode, API-sikkerhet i kode, DSPM for kode og AI-trusselmodellering. CRACI gjør ingen av kodeskanningene på den listen.
• Prioritering. Risk Graph tar inn, dedupliserer og kobler sammen funn, og kjeder dem deretter sammen til «toxic combinations». Apiiros eksempel: et repositorium med personopplysninger, bygget av en sårbar pipeline, som mottar commits til en gren uten påkrevde reviewere. Tre middels alvorlige funn blir én kritisk risiko.
• Oversikt over programvarefabrikken. SSCS lager en oversikt over repositorier og CI/CD-pipelines, også skyggepipelines, med bidragsytere, tilganger, plugins og avhengigheter. Den følger sårbarheter i pipeline-avhengigheter gjennom hele livssyklusen, og guardrails kan blokkere risikable commits og merger.
• Avhengighetsanalyse og rettelser. AI SCA sjekker om en sårbar funksjon faktisk kalles, kobler avhengigheter til utrullede containere og offentlige endepunkter, oppdager skadelige pakker og håndhever lisenspolicy. AutoFix leverer versjonsoppdateringer som Apiiro sier er forhåndsvalidert for API-kompatibilitet.
• Integrasjoner. GitHub, GitLab, Azure DevOps, Bitbucket og Perforce på versjonskontrollsiden, Jenkins og GitHub Actions for pipeline-tilstand, og en lang liste med skannere, registre og saksbehandlingsverktøy.

Der CRACI er annerledes

Bygget er sannhetskilden

Apiiros XBOM bygges ved å analysere kode: hver pakke, hvert API, hver AI-modell og hver lisens, oppdatert ved hver kodeendring. Det gir et sterkt bilde av hva koden din deklarerer og bruker. Et bygg gjør ofte mer enn koden sier. Det kjører installasjonsskript, laster ned verktøykjeder, gjenoppretter cacher, henter base-images og laster ned binærfiler for utgivelser.

CRACI ser den aktiviteten fordi det er runneren. En pakkebevisst proxy observerer trafikken til pakkekildene mens jobben kjører, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, i tillegg til download-presets. Dokumentasjonen for avhengighetene følger med CI-cacher, så en pakke gjenopprettet fra en cache er fortsatt med. Hver SBOM har en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Du vet når registreringen har et hull.

Kontroll i runneren, ikke bare tilstand

Apiiro forteller deg når en pipeline er feilkonfigurert eller åpen for manipulering. CRACI begrenser hva et bygg kan nå mens det kjører. Egress-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git, og eksplisitte regler for TLS, TCP, UDP og ICMP. De valideres før jobben starter, blokkerer ved feil, og CRACI kan varsle deg ved et brudd.

Byggdokumentasjon via API-et

API-et returnerer SBOM-er, nettverksspor og provenance.

Etter at det er levert

CRACI vurderer SBOM-ene for det du har levert, på nytt etter hvert som nye sårbarheter publiseres, og samler funn på tvers av bygg og repositorier.

En oversikt over hva som er utrullet hvor

CRACIs inventaroversikt viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, ser du hvilke produkter som kjører den berørte versjonen, i stedet for å stykke det sammen fra utgivelsesnotater og regneark.

Der Apiiro ligger foran

For å si det rett ut: CRACI har ingen skanning for SAST, hemmeligheter, IaC eller API-sikkerhet, tar ikke inn funn fra andre skannere, reviderer ikke grenbeskyttelse eller tilganger i repositorier og støtter i dag bare GitHub Actions, med GitLab CI og Jenkins på veikartet. CRACI blokkerer bygg via policy gates og håndhever lisenspolicy. Trenger du én plattform som prioriterer risiko på tvers av all koden din, dekker Apiiro langt mer.

Hvilket verktøy som passer

Apiiro passer bedre når

• Du vil ha én ASPM-plattform på tvers av mange skannere, repositorier og SCM-systemer.
• Prioriteten din er arkitekturkontekst: hvilken kode som er eksponert mot internett, håndterer personopplysninger eller er vesentlig endret.
• Du trenger tilstand for repositorier og pipelines på tvers av GitLab, Azure DevOps, Bitbucket eller Jenkins.

CRACI passer bedre når

• Du bygger på GitHub Actions og vil ha runneren, egress-policyen og avhengighetsregistreringen på ett sted.
• Du trenger en SBOM over hva hvert bygg hentet, med en fullstendighetsstatus du kan vise en revisor.
• Du vil ha overvåking av det som er levert, og CRA-dokumentasjon.

Bruke begge

Apiiro beskriver seg nå som et verktøy for å sikre agentbasert utvikling. Guardian Agent styrer AI-kodeassistenter mot sikker kode før den skrives, og XBOM-en kommer fra analyse av koden i repositoriene dine. CRACI er CI/CD med sikkerheten bygget inn i runneren, så SBOM-en registrerer hva hvert bygg faktisk hentet, også det kodeanalyse ikke kan se: installasjonsskript, verktøykjeder, pakker i cache og base-images. Apiiro jobber der koden skrives, CRACI der den bygges og leveres. CRACI erstatter runneren, ikke GitHub Actions, så enhver pipeline-integrasjon fra Apiiro fortsetter å virke.

For Cyber Resilience Act

Cyber Resilience Act krever at produsenter kjenner komponentene i hvert produkt, håndterer sårbarheter i dem og tar vare på dokumentasjon. En ASPM-plattform hjelper med sikker utvikling og med håndtering av sårbarheter i koden din. CRACI automatiserer en betydelig del av innsikten i og dokumentasjonen for programvareleverandørkjeden som selskaper trenger i sin bredere CRA-samsvarsprosess: SBOM-er fra bygget, sårbarhetssporing, provenance og SBOM-eksport som CycloneDX eller SPDX. Ingen av verktøyene sikrer alene at du er i samsvar. Se CRA-compliance.

Legge til CRACI

Installer CRACI GitHub App i organisasjonen din, og endre deretter runner-etiketten på en jobb til runs-on: craci. Kjøringene vises fortsatt i GitHub-grensesnittet. Begynn med én workflow som lager en utgivelsesartefakt, og sammenlign CRACIs SBOM med inventaret du har i dag. Les mer om CI/CD-integrasjon, SBOM-generering under bygget og priser.