CRACI vs. Xygeni

Det korte svaret

Xygeni er en plattform for applikasjonssikkerhet fra Valladolid i Spania. Selskapet beskriver den som "one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end". Modulene dekker SAST, SCA med reachability og oppdagelse av skadevare, hemmeligheter, IaC, containere, CI/CD-sikkerhet, byggesikkerhet med SLSA- og in-toto-attestasjoner, avviksdeteksjon, DAST, API-sikkerhet og et ASPM-lag. Selskapet publiserer prisene sine og har en gratisplan. Det kjører ikke bygg: Det kobles til CI-systemene du allerede bruker.

CRACI konkurrerer om samme budsjett for leverandørkjeden fra et annet utgangspunkt. Det er runneren for GitHub Actions: Det registrerer pakkene hver jobb faktisk hentet inn, håndhever en egress-policy mens jobben kjører, og fortsetter å overvåke det som ble levert. Xygeni er langt bredere innen AppSec; CRACI går dypere på bygget og det som kom ut av det.

Oversikt

"Ikke oppgitt" betyr at vi ikke kunne bekrefte det på de offentlige sidene til Xygeni.

Hva Xygeni gjør bra

• Bredde i én plattform. SAST med AI-autofiks, SCA med reachability og automatiske pull requests med oppgraderinger, oppdagelse av hemmeligheter med automatisk tilbakekalling, skanning av IaC og container-images og, på Enterprise, DAST, API-sikkerhet og ASPM med innhenting av data fra tredjeparter.
• Skadevare i åpen kildekode. Xygeni sier at selskapet analyserer tusenvis av nye og oppdaterte pakker med åpen kildekode hver dag, bruker en ML-assistert motor til å oppdage ukjent skadevare, setter mistenkelige pakker i karantene og kan blokkere dem med en avhengighetsbrannmur. Det går utover å matche CVE-er.
• CI/CD-sikkerhet. Det ser etter feilkonfigurasjoner i byggeskript og pipelines, tar for seg OWASP Top 10 CI/CD-risikoer, sjekker innstillinger som branch-beskyttelse og flerfaktorautentisering og flagger skadelige kommandoer i pipelines, som reverse shells og nedlasting av skadevare.
• Byggeattestasjoner. Build Security legger til én linje i en pipeline for å samle dokumentasjon fra hvert stadium av bygget og generere SLSA-provenance og in-toto-attestasjoner, signert med nøkkelfrie signaturer. Attestasjoner kan inneholde sårbarhetsskanninger, SBOM-er i SPDX eller CycloneDX og testresultater, og manipulerte artefakter kan blokkeres før levering.
• Avviksdeteksjon. Sensorer for GitHub, GitLab, Jenkins og Azure følger med på uautoriserte endringer i kode, avhengigheter, pipelines og byggekonfigurasjon og varsler i sanntid.
• Bred CI-dekning og publiserte priser. Xygeni oppgir integrasjoner med GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI og Travis CI og tilbyr on-premise-utrulling på Enterprise.

Der CRACI skiller seg ut

Registrert fra bygget, ikke lest fra beskrivelser

Dokumentasjonen til Xygeni sier at analysatorene behandler avhengighetsbeskrivelser for å hente ut direkte og indirekte avhengigheter og løse versjonene deres. Det er standardmåten å bygge en SBOM fra et repository på. CRACI ser i stedet trafikken inn til hvert bygg: En pakkebevisst proxy registrerer hver pakke jobben hentet, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Pakker gjenopprettet fra CI-cacher forblir i registreringen.

Det er slik CRACI registrerer de skjulte avhengighetene som lockfile-baserte verktøy går glipp av: kode lastet ned av npm install hooks, Rust-byggeskript som henter under bygget, og lagene fra base-imaget i et containerbygg. Hver SBOM har en fullstendighetsstatus per jobb og per cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded), så når registreringen har et hull, sier den fra.

Kontroll mens bygget kjører

CI/CD-sjekkene i Xygeni ser på hvordan pipelines er konfigurert, og hvilke kommandoer de inneholder. CRACI begrenser hva bygget kan nå. Egress-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git, og eksplisitte TLS-, TCP-, UDP- og ICMP-regler. De valideres før jobben starter, og blokkerer ved feil (fail closed). Fordi en default deny-policy bare tillater det bygget trenger, blir en kompromittert pakke som prøver å sende hemmelighetene dine til en ukjent vert, blokkert, selv ved et angrep ingen har sett før, og CRACI varsler deg om bruddet.

Provenance og overvåking fra én registrering

Xygeni signerer attestasjoner fra et steg lagt til i pipelinen du kjører. Registreringen i CRACI kommer fra runneren jobben kjørte på: API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå. CRACI fortsetter å vurdere SBOM-ene for det du leverte, på nytt etter hvert som nye sårbarheter publiseres, og viser hvert tidligere bygg som inneholdt en sårbar avhengighet, så du vet hvor lenge du var eksponert.

Runneren er en del av produktet

Fordi CRACI er runneren, kommer dokumentasjonen sammen med beregningskraften: Kjøringer vises fortsatt i GitHub, og CRACI kjører bygg omtrent dobbelt så raskt som GitHub-hostede runnere, takket være raskere maskinvare, kortere køtider og caching. CRACI tar bare betalt for byggeminutter, $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift og uten betaling per SBOM. Se priser for CRACI.

Hvilken som passer

Xygeni passer bedre når

• Du vil ha én AppSec-plattform for SAST, SCA, hemmeligheter, IaC, containere og pipeline-konfigurasjon.
• Du vil at ondsinnede pakker med åpen kildekode skal oppdages og blokkeres før det finnes en advisory.
• Du bygger på GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI eller Travis CI.
• Du trenger SLSA- og in-toto-attestasjoner eller en on-premise-utrulling.
• Et lite team vil starte på en gratisplan med publiserte priser.

CRACI passer bedre når

• Du bygger på GitHub Actions og vil ha runneren, egress-policyen og registreringen av avhengigheter på ett sted.
• Du trenger en SBOM over hva hvert bygg faktisk hentet, med en fullstendighetsstatus du kan vise en revisor.
• Du vil ha overvåking av det som ble levert, og byggehistorikk fra samme registrering.

Hva du gir opp ved å flytte byggedokumentasjonen til CRACI

For programvaren du bygger på GitHub Actions, tar CRACI over jobben til SBOM-eksporten i Xygeni: Registreringen, provenance-dataene og overvåkingen kommer fra runneren. For å si rett ut hva det koster: CRACI har ingen reachability-analyse, oppdager ikke nye ondsinnede pakker ut fra oppførsel eller omdømme (det flagger kjente ondsinnede utgivelser når en advisory med en CVE er publisert), åpner ingen pull requests med oppgraderinger, signerer ikke provenance, hevder ikke noe SLSA-nivå, har ingen avviksdeteksjon på tvers av kildekontroll og kjører bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.

SAST, hemmeligheter, IaC og tilstandssjekkene for CI/CD i Xygeni dekker områder CRACI bevisst ikke rører, så de kan bli værende der de er. CRACI erstatter runneren, ikke GitHub Actions, så et skannesteg kjører på en CRACI-runner som alle andre steg.

For Cyber Resilience Act

Cyber Resilience Act er ett av flere rammeverk som ber om en SBOM og en prosess for sårbarhetshåndtering. Xygeni oppgir samsvarssjekker for programvareleverandørkjeden mot CIS og OpenSSF på Business-planen. CRACI automatiserer en betydelig del av innsynet i leverandørkjeden og dokumentasjonen en CRA-prosess trenger: SBOM-er fra bygget eksportert som CycloneDX eller SPDX, sårbarhetssporing og provenance via API-et. Se CRA-dokumentasjon. Ingen av verktøyene gjør et produkt samsvarende på egen hånd.

For andre plattformer på dette området, se CRACI vs. Cycode, CRACI vs. OX Security, CRACI vs. Wiz og verktøy for sikkerhet i programvareleverandørkjeden.

Spørsmål om Xygeni, besvart

Hva er Xygeni?

Xygeni er en plattform for applikasjonssikkerhet fra Valladolid i Spania. Den kombinerer egne skannere (SAST, SCA med reachability og oppdagelse av skadevare, hemmeligheter, IaC, containere, CI/CD-sikkerhet og eventuelt DAST og API-sikkerhet) med et ASPM-lag, pluss byggesikkerhet med SLSA- og in-toto-attestasjoner og avviksdeteksjon på tvers av kildekontroll og CI-systemer.

Hva koster Xygeni?

Per september 2026 viser prissiden til Xygeni en gratisplan med SAST, SCA, hemmeligheter og en IDE-plugin for opptil 10 repositorier, 200 skanninger per måned og 5 bidragsytere. Team starter på omtrent $3,828 (€3,300) per år og Business på omtrent $6,844 (€5,900) per år, begge med 10 bidragsytere inkludert, og Enterprise prises etter tilbud. En bidragsyter er alle som har committet til et skannet repository de siste 90 dagene. Build Security og Anomalies Detection er Enterprise-alternativer.

Leverer Xygeni CI-runnere?

Nei. Xygeni integreres med CI-systemene du kjører, for eksempel GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI og Travis CI, og legger skannerne og attestasjonssteget til i pipelinene dine. CRACI er runneren: GitHub Actions-jobber kjører på CRACI, som registrerer hva hver jobb hentet, og kontrollerer hva den kan nå.

Hva er forskjellen på Xygeni og CRACI?

Xygeni er en bred AppSec-plattform som skanner kode, avhengigheter, hemmeligheter, IaC og pipeline-konfigurasjon på tvers av mange CI-systemer. CRACI er en GitHub Actions-runner som registrerer pakkene hvert bygg faktisk hentet, håndhever en egress-policy mens det kjører, og fortsetter å overvåke det som ble levert. Xygeni er langt bredere; CRACI registrerer selve bygget.

Kan CRACI erstatte Xygeni?

For byggedokumentasjon for programvare du bygger på GitHub Actions, ja: Den registrerte SBOM-en, provenance og sårbarhetsovervåkingen i CRACI dekker den jobben. CRACI erstatter ikke SAST, hemmeligheter, IaC, tilstandssjekker for CI/CD, oppdagelse av skadevare eller reachability-analyse i Xygeni, og det kjører bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.