CRACI vs. Cycode

Det korte svaret

Cycode kaller seg en agentic development security platform og vokste ut av application security posture management (ASPM). Selskapet selger kodesikkerhet (SAST, SCA, container- og IaC-skanning), sikkerhet i programvareleverandørkjeden (CI/CD-sikkerhet, beskyttelse av bygg under kjøring, oppdagelse av kodelekkasjer, SBOM, hemmeligheter), posture management med mer enn 100 konnektorer og AI-styring for utvikling. Delen for byggekjøring, Cimon, er en eBPF-agent som kjører inne i CI-jobbene dine.

CRACI konkurrerer om det samme budsjettet for leverandørkjeden, og med Cimon er overlappet reelt: Begge observerer bygg, begge kan begrense egress fra bygg, og begge lager en SBOM fra bygget. Cimon signerer også provenance; det gjør ikke CRACI. Forskjellen er hvor dette ligger. Cycode legger til en agent i CI-en du allerede kjører, på tvers av mange systemer. CRACI er runneren for GitHub Actions, så registreringen og policyen følger med hver jobb, og CRACI tar dem videre til overvåking og CRA-dokumentasjon. Cycode er langt bredere; CRACI går dypere på bygget og det som ble levert.

Kort oppsummert

Hva Cycode gjør bra

Bredde gjennom hele SDLC

• Kodesikkerhet: SAST og AI SAST, SCA med reachability-analyse og lisenssamsvar, containerskanning og sikkerhet for infrastruktur som kode.
• Hemmeligheter og lekkasjer: Cycode ser etter eksponerte hemmeligheter i kildekode, pipelines og verktøy som Jira, Slack og Confluence, og oppdager lekket kode.
• CI/CD-sikkerhet: Det overvåker sikkerhetspolicyer, konfigurasjoner og styring i CI/CD, og bruker policyhåndheving til å hjelpe team med å oppfylle standarder som NIST SSDF.
• Posture management: Context Intelligence Graph sporer sårbarheter på tvers av kode, verktøykonfigurasjoner, skyinfrastruktur og eierskap, og ConnectorX henter inn funn fra andre skannere.
• SBOM-er: Cycode genererer SBOM-er i SPDX eller CycloneDX, og Posture Management-planen oppgir import av SBOM-er.

Cimon, kjøretidsagenten for bygg

Cycode beskriver Cimon som kjøretidssikkerhet, en SBOM observert under kjøring og SLSA-provenance i ett enkelt GitHub Actions- eller Azure Pipelines-steg. Det overvåker prosesskjøring, utgående nettverkstrafikk og filtilgang på kjernenivå med eBPF. I deteksjonsmodus observerer det uten å blokkere; når en pipelines normale atferd er etablert, håndhever det den, og GitHub Action-en godtar tillatte verter og IP-er. Cimon signerer provenance etter spesifikasjonen SLSA Provenance v1.0, som Cycode sier oppfyller SLSA Build Level 2 på en hostet runner signert gjennom GitHub OIDC. Det kjører også på Jenkins, GitLab CI, Buildkite og Harness, og Cycode sier at det er gratis og åpen kildekode.

Der CRACI er annerledes

Runneren, ikke en agent på den

Cimon legges til på runnerne du beholder; på GitHub Actions kjører det som en privilegert container som går inn i runnerens prosess- og nettverksnavnerom. Det er dette som gjør at det fungerer på hostede runnere og mange CI-systemer. CRACI går den andre veien og erstatter runneren. Du endrer runs-on til craci, og egress-policyen er en del av plattformen: validert før jobben starter, avviser ukjente felt og blokkerer ved feil (fail closed).

Pakker og kilder, ikke bare verter

CRACIs egress-policy er typet etter økosystem. Den har 24 innebygde forhåndsinnstillinger for programvarekilder, egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git over HTTPS og SSH, og eksplisitte regler for TLS, TCP, UDP og ICMP. En pakkebevisst proxy registrerer hvilke pakker hver jobb hentet. Dokumentasjonen for avhengighetene følger med CI-cacher, så en pakke gjenopprettet fra en cache er fortsatt med i registreringen, og hver SBOM har en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Fra bygget til det som ble levert

• Provenance: API-et returnerer SBOM-er, nettverksspor og provenance.
• Overvåking: CRACI fortsetter å vurdere SBOM-ene for det du har levert, på nytt etter hvert som nye sårbarheter dukker opp, samlet på tvers av bygg og repositorier.
• Eksport: SBOM-er som CycloneDX eller SPDX, sårbarheter inkludert.

En oversikt over hva som er utrullet hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å sette det sammen fra utgivelsesnotater og regneark.

Der Cycode ligger foran

For å si det rett ut: CRACI har ingen SAST og ingen skanning av hemmeligheter, IaC eller containere, ingen ASPM-konnektorer, ingen overvåking av prosesser eller filer, og ingen detect- eller monitor-modus ennå (den står på veikartet). CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå, og det kjører bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Hvis du trenger én plattform for all koden din og hvert CI-system, dekker Cycode mye mer.

Hvilken som passer

Cycode passer best når

• Du vil ha én ASPM-plattform for kodeskanning, hemmeligheter, CI/CD-tilstand og prioritering.
• Du kjører Azure Pipelines, Jenkins, GitLab CI eller Buildkite og vil ha beskyttelse av bygg under kjøring der.
• Du vil beholde GitHub-hostede runnere og legge til en agent på dem.

CRACI passer best når

• Du bygger på GitHub Actions og vil ha runneren, egress-policyen og registreringen av avhengigheter på ett sted.
• Du trenger en SBOM på pakkenivå fra hvert bygg, med en fullstendighetsstatus du kan vise en revisor.
• Du vil ha overvåking av det som ble levert, og CRA-dokumentasjon fra samme registrering.

Bruke begge

Kodeskanningen, oppdagelsen av hemmeligheter og posture management i Cycode dekker områder CRACI ikke berører, så de to kan stå side om side. Cimon er unntaket: På en CRACI-runner er observasjon av bygget og egress-kontroll allerede en del av runneren, så CRACI erstatter Cimon i stedet for å kjøre ved siden av det, med mindre du trenger Cimons signerte provenance.

For andre ASPM-plattformer, skannere og runner-agenter, se Cycode-alternativer.

For Cyber Resilience Act

Cycode posisjonerer plattformen sin for CRA-samsvar med automatisert SBOM-generering, sårbarhetssporing og innsamling av dokumentasjon til tekniske filer. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess, med utgangspunkt i bygget: SBOM-er med fullstendighetsstatus, provenance, overvåking av det som ble levert, og SBOM-eksport som CRA-dokumentasjon. Ingen av verktøyene gjør deg samsvarende alene. Se hva CRA krever og CRA-samsvar.

Legge til CRACI

Installer CRACI GitHub App i organisasjonen din, og endre deretter runner-etiketten på en jobb til runs-on: craci. Kjøringene vises fortsatt i GitHub-grensesnittet. Les mer om CI/CD-integrasjon, SBOM-generering under bygget og priser.