CRACI vs. Wiz

Det korte svaret

Wiz er en skysikkerhetsplattform og siden 11. mars 2026 en del av Google. Wiz Code er kodesikkerhetsproduktet: Det skanner kode, avhengigheter, hemmeligheter og IaC, sjekker innstillinger for versjonskontroll og CI/CD og kobler det det finner, til skyressursene koden ender opp med å kjøre på. I april 2026 utvidet Wiz Wiz Code til GitHub Actions: Det parser nå workflow-filer, modellerer workflows, jobber og runnere på Security Graph og flagger risikable triggere, tillatelser, tredjeparts actions og konfigurasjoner av AI-agenter.

Det er konfigurasjonsanalyse: Det forteller deg hvilke workflows som kan misbrukes. CRACI jobber ett lag lenger ned. Det er runneren for GitHub Actions, så det registrerer pakkene hver jobb faktisk hentet inn, håndhever en egress-policy mens jobben kjører, og fortsetter å overvåke det som ble levert. Wiz dekker langt mer, fra kode til sky; CRACI dekker det som skjer inne i bygget.

Oversikt

"Ikke oppgitt" betyr at vi ikke kunne bekrefte det på de offentlige sidene til Wiz.

Hva Wiz gjør bra

Fra kode til sky

• Skykontekst. Kjernen i Wiz er skysikkerhet på tvers av AWS, Azure, Google Cloud og Oracle Cloud. Det skanner VM-er, containere og serverless-funksjoner uten agenter, og rangerer sårbarheter med kontekst fra Security Graph: nettverkseksponering, identiteter, datasensitivitet og angrepsstier.
• Kartlegging fra kode til sky. Wiz Code sporer en risiko funnet i skyen tilbake til kildekoden som produserte den, og foreslår rettingen i den koden. For et team som allerede bruker Wiz, havner kodefunn i samme graf som alt annet.
• Skanning på ett sted. SCA og SBOM for direkte og transitive avhengigheter, IaC-skanning av Terraform, CloudFormation, Azure Resource Manager, Kubernetes og Docker mot mer enn 1 000 regler, hemmeligheter i kode, IaC-maler og container-images, sensitive data som PII og PHI, og skanning av kodebasen for skadevare "before it reaches your CI runners". Wiz SAST og funn fra tredjepartsskannere fullfører bildet.

GitHub Actions og CI/CD-tilstand

• Workflows på grafen. Wiz parser workflow-filer i YAML fra GitHub Actions og modellerer workflows, jobber, runnere og forholdet mellom dem, så en pipeline blir en ressurs du kan spørre mot, med kontekst om hva som utløser den, og hva den har tilgang til.
• Risikabel konfigurasjon. Det flagger farlige triggere som pull_request_target, analyserer tillatelsene som er deklarert i workflow-filer, og melder fra om risikable eller for vide tillatelser, viser risikable inndata og mulige lekkasjer av hemmeligheter i pipeline-definisjoner, fører oversikt over tredjeparts actions hver workflow bruker, og flagger AI-agenter i workflows som er åpne for prompt injection.
• Benchmarks. Wiz Code sjekker versjonskontroll- og CI/CD-systemer for feilkonfigurasjoner og usikre standardinnstillinger, med OpenSSF Best Practices, OWASP Top 10 CI/CD Risks og CIS-benchmarks for GitHub og GitLab.
• Trusseldeteksjon. Wiz henter inn revisjonslogger fra plattformer for versjonskontroll og CI/CD for å fange opp hendelser som en mistenkelig kloning eller en slettet regel for branch-beskyttelse, og Sensor på selvhostede CI-runnere kan oppdage mistenkelig aktivitet, for eksempel en runner som kontakter et domene for kryptomining.

Der CRACI skiller seg ut

Håndheving inne i jobben, ikke funn om den

Kunngjøringen fra Wiz beskriver inventar, analyse og funn. Den beskriver ikke kontroll over hva en jobb kan nå mens den kjører. Egress-policyen i CRACI er en del av runneren. Policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git, og eksplisitte TLS-, TCP-, UDP- og ICMP-regler. De valideres før jobben starter, blokkerer ved feil (fail closed), og CRACI varsler deg ved et brudd.

Dette er viktig fordi leverandørkjedeangrep kjører inne i jobber som ser riktig konfigurert ut. Wiz' egen forskning på den andre Shai-Hulud-bølgen fant at de fleste infeksjonene kjørte i CI/CD-pipelines. Et tilstandsfunn kan fortelle deg at en workflow er eksponert; det kan ikke stoppe en kompromittert pakke som allerede kjører. Med en default deny-policy blir en tilkobling til en vert bygget ikke trenger, blokkert, selv ved et angrep ingen har sett før.

Hva bygget hentet, ikke hva koden deklarerer

SCA i Wiz Code skanner avhengighetene i koden din, og de agentløse SBOM-ene beskriver skyarbeidslaster. CRACI ser trafikken inn til hvert bygg: En pakkebevisst proxy registrerer hver pakke jobben hentet, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger, inkludert pakker gjenopprettet fra CI-cacher. Det er slik CRACI registrerer de skjulte avhengighetene som lockfile-baserte verktøy går glipp av, for eksempel kode lastet ned av npm install hooks eller lagene fra base-imaget i et containerbygg. GitHub Actions en workflow kjørte, er også i SBOM-en, pinnet til commiten som ble brukt. Hver SBOM har en fullstendighetsstatus per jobb og per cache, så når registreringen har et hull, sier den fra.

Dokumentasjon fra bygget

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå. CRACI fortsetter å vurdere SBOM-ene for det du leverte, på nytt etter hvert som nye sårbarheter publiseres, og viser hvert tidligere bygg som inneholdt en sårbar avhengighet, så du vet hvor lenge du var eksponert.

Der Wiz ligger foran

For å si det rett ut: CRACI har ingen skanning av SAST, hemmeligheter, IaC eller skadevare, ingen tilstandssjekker for CI/CD, ingen prosessovervåking på runnere, ingen skysikkerhet og ingen kartlegging fra kode til sky. Det kjører bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Hvis prioriteten din er ett bilde av risiko fra kode til sky, dekker Wiz mye mer.

Hvilken som passer

Wiz passer bedre når

• Du bruker allerede Wiz til skysikkerhet og vil ha risiko i kode og pipelines i samme graf.
• Du vil finne risikable workflow-triggere, tillatelser og tredjeparts actions på tvers av mange repositorier.
• Du trenger skanning av SAST, hemmeligheter, IaC og skadevare med skykontekst for prioritering.
• Du kjører selvhostede runnere og vil ha trusseldeteksjon på dem.

CRACI passer bedre når

• Du vil ha en egress-policy håndhevet inne i hver GitHub Actions-jobb, ikke bare funn om workflowen.
• Du trenger en SBOM over hva hvert bygg faktisk hentet, med en fullstendighetsstatus du kan vise en revisor.
• Du vil ha overvåking av det som ble levert, og byggehistorikk fra samme registrering.

Bruke begge

Tilstandssjekkene, kodeskanningen og skysikkerheten i Wiz Code dekker områder CRACI bevisst ikke rører, så de blir værende der de er. CRACI erstatter runneren, ikke GitHub Actions: Workflowene og repositoriene dine blir i GitHub, så Wiz fortsetter å analysere de samme workflow-filene mens jobbene kjører på CRACI. CRACI kjører også bygg omtrent dobbelt så raskt som GitHub-hostede runnere, takket være raskere maskinvare, kortere køtider og caching, og tar bare betalt for byggeminutter. Se priser for CRACI.

For Cyber Resilience Act

Cyber Resilience Act er ett av flere rammeverk som ber om en SBOM og en prosess for sårbarhetshåndtering. CRACI automatiserer en betydelig del av innsynet i leverandørkjeden og dokumentasjonen en CRA-prosess trenger: SBOM-er fra bygget eksportert som CycloneDX eller SPDX, sårbarhetssporing og provenance via API-et. Se CRA-dokumentasjon. Ingen av verktøyene gjør et produkt samsvarende på egen hånd.

For andre plattformer på dette området, se CRACI vs. OX Security, CRACI vs. StepSecurity, CRACI vs. Xygeni og verktøy for sikkerhet i programvareleverandørkjeden.

Spørsmål om Wiz, besvart

Hva er Wiz Code?

Wiz Code er kodesikkerhetsdelen av skysikkerhetsplattformen Wiz. Det skanner kode for sårbare avhengigheter, hemmeligheter, feilkonfigurasjoner i IaC, sensitive data og skadevare, legger til SAST og funn fra tredjepartsskannere, sjekker innstillinger for versjonskontroll og CI/CD mot benchmarks og sporer skyrisikoer tilbake til kildekoden som forårsaket dem.

Sikrer Wiz Code GitHub Actions?

Wiz Code analyserer konfigurasjonen av GitHub Actions. Siden april 2026 har det parset workflow-filer i YAML og modellert workflows, jobber, runnere og forholdet mellom dem på Wiz Security Graph, flagget farlige triggere som pull_request_target, meldt fra om risikable eller for vide tillatelser, ført oversikt over tredjeparts actions og flagget risikable oppsett av AI-agenter. Kunngjøringen fra Wiz beskriver ikke kontroll over hva en jobb kan nå mens den kjører. CRACI er runneren, så det håndhever en egress-policy inne i hver jobb.

Er Wiz en del av Google?

Ja. Google fullførte oppkjøpet av Wiz 11. mars 2026. Wiz sier at det fortsatt er en multisky-plattform som dekker AWS, Azure, Google Cloud og Oracle Cloud.

Hva koster Wiz?

Wiz publiserer ikke listepriser. Per september 2026 beskriver prissiden samlede tilbud og à la carte-alternativer, med tilbud på forespørsel. CRACI tar bare betalt for byggeminutter: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift.

Kan CRACI erstatte Wiz Code?

Ikke som helhet. CRACI har ingen skanning av SAST, hemmeligheter, IaC eller skadevare, ingen tilstandssjekker for CI/CD og ingen skysikkerhet. For GitHub Actions-bygg legger CRACI til det konfigurasjonsanalyse ikke kan: Det er runneren, så det registrerer pakkene hver jobb hentet, og håndhever en egress-policy mens jobben kjører.