CRACI vs. Safeguard

Det korte svaret

Safeguard selger en plattform for sikkerhet i programvareleverandørkjeden. Nettstedet sier at plattformen finner sårbarheter, også slike som ennå ikke har en CVE, filtrerer dem med reachability-analyse og lar Griffin AI-modellene skrive patchen, kjøre CI-en din og merge pull requesten etter policyen din. Den genererer SBOM-er i CycloneDX og SPDX, registrerer SLSA-provenance, knytter dokumentasjon til compliance-rammeverk og kjører i skyen, on-premise eller air-gapped. Den kjører ikke bygg: CLI-en kjører i CI-en du allerede har.

CRACI konkurrerer om samme budsjett for leverandørkjeden fra et annet utgangspunkt. Det er runneren for GitHub Actions: Det registrerer pakkene hver jobb faktisk hentet inn, håndhever en egress-policy mens jobben kjører, og fortsetter å overvåke det som ble levert. Safeguard dekker mer rundt koden; CRACI går dypere på bygget og det som kom ut av det.

Oversikt

Kolonnen for Safeguard gjenspeiler det selskapets eget nettsted og dokumentasjon oppgir, sjekket 29. september 2026. "Ikke oppgitt" betyr at vi ikke kunne bekrefte det der.

Hva Safeguard gjør bra

• Rettinger, ikke bare funn. Safeguard sier at Griffin AI beviser reachability, skriver en kompatibel oppgradering, kjører CI-en og regresjonstestene dine i en sandkassegren og merger etter policy gates du setter. Hver betalte plan inkluderer en månedlig kvote med pull requests med rettinger.
• Reachability først. Funn filtreres til sårbar kode applikasjonen din faktisk kan nå, noe som holder køen kort.
• Utover avhengigheter. CLI-en rapporterer også hemmeligheter og feilkonfigurasjoner som SARIF, som dukker opp i code scanning-fanen i GitHub, og plattformen beskriver skanning av kildekode, IaC og containere.
• Herdede komponenter. En offentlig Gold-katalog og et register med herdede images og pakker, så team kan starte fra komponenter uten kjente CVE-er.
• Leverandørrisiko. En Third Party Risk Manager gir leverandører score og verifiserer SBOM-ene de leverer, og en Portal publiserer SBOM-ene dine til kunder.
• CI-bredde, utrullingsalternativer og en gratisplan. Dokumentasjonen dekker GitHub Actions, GitLab CI/CD, Jenkins og Azure DevOps. Safeguard tilbyr on-premise og air-gapped utrulling på Sovereign-nivået, publiserer selvbetjente priser og har en gratisplan uten krav om kort.

Der CRACI skiller seg ut

Registrert fra bygget, ikke skannet i etterkant

Dokumentasjonen til Safeguard sier at CLI-en kjører Syft og Grype, og at den bygger SBOM-er fra tilkoblede repositorier, container-images og opplastede manifester som package.json og requirements.txt. Det er standardmåten å bygge en SBOM på: Les filene, og finn ut hva som gikk inn. CRACI ser i stedet trafikken inn til hvert bygg. En pakkebevisst proxy registrerer hver pakke jobben hentet, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger, og pakker gjenopprettet fra CI-cacher forblir i registreringen.

Det er slik CRACI registrerer de skjulte avhengighetene som lockfile-baserte verktøy går glipp av: kode lastet ned av npm install hooks, Rust-byggeskript som henter under bygget, og lagene fra base-imaget i et containerbygg. Hver SBOM har en fullstendighetsstatus per jobb og per cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded), så når registreringen har et hull, sier den fra.

Kontroll mens bygget kjører

En skanner rapporterer hva den finner i etterkant. Fordi CRACI er runneren, avgjør det hvilke verter en jobb kan nå mens den kjører. Egress-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, validert før jobben starter, og de blokkerer ved feil (fail closed). Med en default deny-policy blir en kompromittert pakke som prøver å sende hemmelighetene dine til en ukjent vert, blokkert, selv ved et angrep ingen har sett før, og CRACI varsler deg om bruddet.

Provenance og overvåking fra én registrering

Safeguard sier at plattformen genererer, lagrer og verifiserer SLSA-provenance. Provenance i CRACI kommer fra runneren jobben kjørte på: API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå. Det fortsetter å vurdere SBOM-ene for det du leverte, på nytt etter hvert som nye sårbarheter publiseres, og viser hvert tidligere bygg som inneholdt en sårbar avhengighet, så du vet hvor lenge du var eksponert.

Runneren er en del av produktet

Fordi CRACI er runneren, kommer dokumentasjonen sammen med beregningskraften: Kjøringer vises fortsatt i GitHub, og CRACI kjører bygg omtrent dobbelt så raskt som GitHub-hostede runnere, takket være raskere maskinvare, kortere køtider og caching. CRACI tar bare betalt for byggeminutter, $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift og uten betaling per SBOM. Se priser for CRACI.

Hvilken som passer

Safeguard passer bedre når

• Du vil at pull requests med rettinger skal skrives, testes og merges for deg.
• Du vil ha reachability-analyse og funn av hemmeligheter og feilkonfigurasjoner i samme plattform.
• Du bygger på GitLab, Jenkins eller Azure DevOps.
• Du trenger on-premise eller air-gapped utrulling i dag.
• Du vil ha et register med herdede komponenter eller score for leverandørrisiko ved siden av SBOM-ene dine.

CRACI passer bedre når

• Du bygger på GitHub Actions og vil ha runneren, egress-policyen og registreringen av avhengigheter på ett sted.
• Du trenger en SBOM over hva hvert bygg faktisk hentet, med en fullstendighetsstatus du kan vise en revisor.
• Du vil ha overvåking av det som ble levert, og byggehistorikk fra samme registrering.

Slik erstatter du Safeguard med CRACI

For programvaren du bygger på GitHub Actions, tar CRACI over jobben med SBOM og overvåking: Det registrerer SBOM-en i bygget med angitt fullstendighet, fortsetter å vurdere overvåkede SBOM-er på nytt, samler funn på tvers av bygg og repositorier og lar sikkerhetsteam triagere dem og sende hvert av dem til teamet som eier rettingen. Policy gates kan blokkere et bygg på grunn av funn, inkludert en bestemt CVE.

Vær klar over hva du gir opp. CRACI åpner ingen pull requests med rettinger, har ingen reachability-analyse, skanner ikke etter hemmeligheter eller feilkonfigurasjoner, tilbyr ikke noe register med herdede komponenter, har ingen signert provenance eller noe SLSA-nivå, oppdager ikke nye ondsinnede pakker ut fra oppførsel (det flagger kjente ondsinnede utgivelser når en advisory med en CVE er publisert), og har ikke noe on-premise- eller air-gapped-alternativ i dag. Det kjører bare GitHub Actions, med GitLab CI og Jenkins på veikartet. Hvis automatisert utbedring eller disse utrullingsalternativene betyr mer enn en registrering av hva hver utgivelse ble bygget fra, passer Safeguard bedre.

Dette bør du sjekke før du kjøper et SBOM-verktøy

Disse spørsmålene gjelder alle leverandører i denne kategorien, også CRACI.

• Hvordan produseres SBOM-en? Spør hvilket verktøy som genererer den, og ut fra hva: lockfiler og manifester, en skanning av det ferdige imaget eller en registrering av bygget. Kjør det så på et av dine egne bygg, og sammenlign komponentlistene, inkludert transitive avhengigheter.
• Sjekk sertifiseringer med utstederen. Et sertifikat eller en autorisasjon kan bekreftes av organet som utstedte det, og "designed for" eller "aligned with" et rammeverk er ikke det samme som å ha det. Sikkerhetssiden til Safeguard beskriver arkitekturen som "designed for" FedRAMP High og IL5 og SOC 2 Type II-revisjonen som pågående; i tråd med den ordlyden var Safeguard ikke oppført på FedRAMP Marketplace da vi sjekket 29. september 2026. CRACI har ISO/IEC 27001-sertifisering fra Into Certification, med detaljer i Trust Center.
• Be om referanser. Nettstedet til Safeguard beskriver kundene anonymt, under NDA. Uansett hvilken leverandør du vurderer, også CRACI, bør du be om en referansesamtale med et team som ligner ditt.
• Bekreft prisen skriftlig. Publiserte priser endrer seg. Prissiden til Safeguard påpeker at tallene er foreslåtte i påvente av endelig godkjenning.

SBOM-krav

Flere rammeverk ber om en SBOM og en måte å håndtere sårbarheter i den på: US Executive Order 14028 former veiledningen for føderale anskaffelser rundt SBOM-er, FDA section 524B krever en for cyberenheter, og EUs Cyber Resilience Act ber produsenter dokumentere komponentene sine. CRACI automatiserer en betydelig del av innsynet i leverandørkjeden og dokumentasjonen disse prosessene trenger: SBOM-er fra bygget eksportert som CycloneDX eller SPDX, sårbarhetssporing og provenance via API-et. Se CRA-dokumentasjon. Ingen av verktøyene gjør et produkt samsvarende på egen hånd.

For andre verktøy på dette området, se CRACI vs. Anchore, CRACI vs. Syft og Grype og SBOM-verktøy sammenlignet.

Spørsmål om Safeguard, besvart

Hva er Safeguard?

Safeguard (Safeguard.sh Inc, Dublin, California, ifølge nettstedet) selger en plattform for sikkerhet i programvareleverandørkjeden. Nettstedet beskriver SBOM-generering i CycloneDX og SPDX, SLSA-provenance, reachability-analyse, AI-skrevne pull requests med rettinger fra Griffin-modellene, risikohåndtering for tredjeparter, et register med herdede komponenter og utrulling i skyen, on-premise eller air-gapped.

Hvordan genererer Safeguard SBOM-er?

Ifølge dokumentasjonen bygger Safeguard SBOM-er fra tilkoblede repositorier, container-images og opplastede pakkemanifester, og CLI-en (safeguard scan) kjører Syft og Grype i pipelinen din. Sammenligningen med Anchore oppgir SBOM-en som CycloneDX og SPDX "via Syft". CRACI skanner ikke: Det kjører bygget og registrerer pakkene hver jobb hentet.

Leverer Safeguard CI-runnere?

Nei. CI-dokumentasjonen til Safeguard viser CLI-en som kjører inne i pipelines i GitHub Actions, GitLab CI/CD, Jenkins og Azure DevOps som du selv drifter, og påpeker at CLI-en rapporterer funn uten å la bygget feile; håndhevingen skjer i plattformens policy gates. CRACI er runneren: GitHub Actions-jobber kjører på CRACI, som registrerer hva hver jobb hentet, og kontrollerer hva den kan nå.

Hva koster Safeguard?

Per september 2026 oppgir prissiden til Safeguard en gratisplan med 5 pull requests med rettinger, 100 skannede komponenter og 100 MCP-verktøykall per måned; individuelle planer til $9, $25, $49 og $99 per måned; Team-planer til $19, $49 og $99 per bruker per måned, med minimum to brukere; og Business, Enterprise og Sovereign etter tilbud. Compliance-pakker koster $2,099 per rammeverk per år. Siden påpeker at tallene er foreslåtte i påvente av endelig godkjenning, så bekreft gjeldende priser med Safeguard. CRACI tar bare betalt for byggeminutter: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund.

Kan CRACI erstatte Safeguard?

For SBOM-er, provenance og sårbarhetsovervåking av programvare du bygger på GitHub Actions, ja: CRACI produserer SBOM-en fra selve bygget og fortsetter å overvåke den. CRACI erstatter ikke AI-baserte pull requests med rettinger, reachability-analyse, oppdagelse av hemmeligheter og feilkonfigurasjoner, registeret med herdede komponenter eller air-gapped utrulling fra Safeguard, og det kjører bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.