CRACI vs Safeguard

Krótka odpowiedź

Safeguard sprzedaje platformę bezpieczeństwa łańcucha dostaw oprogramowania. Jego strona podaje, że znajduje podatności, także te, które nie mają jeszcze CVE, filtruje je analizą osiągalności, a modele Griffin AI piszą poprawkę, uruchamiają Państwa CI i scalają pull request według Państwa polityki. Generuje SBOM-y w formatach CycloneDX i SPDX, zapisuje dane o pochodzeniu SLSA, mapuje dowody na frameworki zgodności i działa w chmurze, on-premise lub air-gapped. Nie uruchamia buildów: jego CLI działa w CI, które już Państwo mają.

CRACI konkuruje o ten sam budżet na łańcuch dostaw z innej pozycji. Jest runnerem dla GitHub Actions: rejestruje pakiety faktycznie pobrane przez każde zadanie, egzekwuje politykę ruchu wychodzącego podczas działania zadania i nadal monitoruje to, co dostarczono. Safeguard obejmuje więcej obszarów wokół kodu; CRACI sięga głębiej w build i to, co z niego wyszło.

W skrócie

Kolumna Safeguard odzwierciedla to, co podają jego własna strona i dokumentacja, według stanu z 29 września 2026. „Nie podano” oznacza, że nie mogliśmy tego tam potwierdzić.

Co Safeguard robi dobrze

• Poprawki, a nie tylko znaleziska. Safeguard podaje, że Griffin AI dowodzi osiągalności, przygotowuje zgodną aktualizację, uruchamia Państwa CI i testy regresji na izolowanej gałęzi oraz scala według Państwa bramek polityk. Każdy płatny plan obejmuje miesięczny limit pull requestów z poprawkami.
• Najpierw osiągalność. Znaleziska są zawężane do podatnego kodu, do którego Państwa aplikacja może faktycznie dotrzeć, co skraca kolejkę.
• Poza zależnościami. Jego CLI raportuje też sekrety i błędy konfiguracji jako SARIF, widoczne w zakładce code scanning w GitHub, a platforma opisuje skanowanie kodu źródłowego, IaC i kontenerów.
• Utwardzone komponenty. Publiczny katalog i rejestr Gold utwardzonych obrazów i pakietów, dzięki czemu zespoły mogą zaczynać od komponentów bez znanych CVE.
• Ryzyko dostawców. Third Party Risk Manager ocenia dostawców i weryfikuje dostarczane przez nich SBOM-y, a Portal udostępnia Państwa SBOM-y klientom.
• Szeroki wybór CI, opcje wdrożenia i plan bezpłatny. Dokumentacja obejmuje GitHub Actions, GitLab CI/CD, Jenkins i Azure DevOps. Safeguard oferuje wdrożenie on-premise i air-gapped w planie Sovereign, publikuje ceny samoobsługowe i ma plan bezpłatny bez karty.

Czym różni się CRACI

Rejestrowane z buildu, a nie skanowane później

Dokumentacja Safeguard podaje, że jego CLI uruchamia Syft i Grype oraz że tworzy SBOM-y z połączonych repozytoriów, obrazów kontenerów i przesłanych manifestów, takich jak package.json i requirements.txt. To standardowy sposób tworzenia SBOM: odczytać pliki i ustalić, co weszło do środka. CRACI widzi natomiast ruch przychodzący do każdego buildu. Proxy rozpoznające pakiety rejestruje każdy pakiet pobrany przez zadanie ze źródeł npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i Git, a także z presetów pobierania, a pakiety przywrócone z cache CI pozostają w zapisie.

W ten sposób CRACI rejestruje ukryte zależności, które umykają narzędziom opartym na lockfile: kod pobierany przez hooki instalacyjne npm, skrypty buildu Rust pobierające dane w czasie buildu oraz warstwy obrazów bazowych buildu kontenera. Każdy SBOM zawiera stan kompletności dla każdego zadania i każdego cache (Complete, Complete with connections, Incomplete, Unavailable lub Not recorded), więc gdy zapis ma lukę, mówi o tym wprost.

Kontrola podczas działania buildu

Skaner raportuje znaleziska po fakcie. Ponieważ CRACI jest runnerem, decyduje, do których hostów zadanie może dotrzeć podczas działania. Polityki ruchu wychodzącego działają w trybie domyślnej odmowy lub domyślnego zezwolenia, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi, są walidowane przed uruchomieniem zadania i w razie awarii blokują ruch. Przy polityce domyślnej odmowy przejęty pakiet, który próbuje wysłać Państwa sekrety na nieznany host, zostaje zablokowany, nawet przy ataku, którego nikt wcześniej nie widział, a CRACI powiadamia Państwa o naruszeniu.

Pochodzenie i monitorowanie z jednego zapisu

Safeguard podaje, że generuje, przechowuje i weryfikuje dane o pochodzeniu SLSA. Dane o pochodzeniu CRACI pochodzą z runnera, na którym działało zadanie: API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu i nie deklaruje żadnego poziomu SLSA. Stale ponownie ocenia SBOM-y tego, co Państwo dostarczyli, w miarę publikowania nowych podatności i pokazuje każdy wcześniejszy build zawierający podatną zależność, więc wiedzą Państwo, jak długo trwało narażenie.

Runner jest częścią produktu

Ponieważ CRACI jest runnerem, dowody są dostarczane razem z mocą obliczeniową: uruchomienia nadal są widoczne w GitHub, a CRACI uruchamia buildy około dwa razy szybciej niż runnery hostowane przez GitHub dzięki szybszemu sprzętowi, krótszym kolejkom i cache. CRACI pobiera opłaty tylko za minuty buildu, $0.002 za minutę vCPU ($0.004 za domyślny runner z 2 vCPU), naliczane co sekundę, bez opłaty miesięcznej i bez opłat za SBOM. Zob. cennik CRACI.

Które rozwiązanie pasuje

Safeguard sprawdzi się lepiej, gdy

• Chcą Państwo, aby pull requesty z poprawkami były pisane, testowane i scalane za Państwa.
• Chcą Państwo analizy osiągalności oraz znalezisk dotyczących sekretów i błędów konfiguracji na tej samej platformie.
• Budują Państwo w GitLab, Jenkins lub Azure DevOps.
• Potrzebują Państwo już dziś wdrożenia on-premise lub air-gapped.
• Chcą Państwo mieć obok SBOM-ów rejestr utwardzonych komponentów lub ocenę ryzyka dostawców.

CRACI sprawdzi się lepiej, gdy

• Budują Państwo w GitHub Actions i chcą mieć runner, politykę ruchu wychodzącego i zapis zależności w jednym miejscu.
• Potrzebują Państwo SBOM tego, co każdy build faktycznie pobrał, ze stanem kompletności, który można pokazać audytorowi.
• Chcą Państwo monitorowania tego, co dostarczono, i historii buildów z tego samego zapisu.

Zastąpienie Safeguard przez CRACI

W przypadku oprogramowania budowanego w GitHub Actions CRACI przejmuje zadania związane z SBOM i monitorowaniem: rejestruje SBOM w buildzie z określoną kompletnością, stale ponownie ocenia monitorowane SBOM-y, agreguje znaleziska z wielu buildów i repozytoriów oraz pozwala zespołom bezpieczeństwa wykonywać ich triage i przekazywać każde z nich zespołowi odpowiedzialnemu za poprawkę. Bramki polityk mogą zablokować build z powodu znalezisk, w tym konkretnego CVE.

Trzeba jasno powiedzieć, z czego Państwo rezygnują. CRACI nie otwiera pull requestów z poprawkami, nie ma analizy osiągalności, nie skanuje sekretów ani błędów konfiguracji, nie oferuje rejestru utwardzonych komponentów, nie ma podpisanych danych o pochodzeniu ani poziomu SLSA, nie wykrywa nowych złośliwych pakietów na podstawie zachowania (oznacza znane złośliwe wydania po opublikowaniu biuletynu z CVE) i nie ma dziś opcji on-premise ani air-gapped. Obsługuje tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju. Jeśli automatyczna naprawa lub te opcje wdrożenia są ważniejsze niż zapis tego, z czego zbudowano każde wydanie, Safeguard sprawdzi się lepiej.

Co sprawdzić przed zakupem dowolnego narzędzia SBOM

Te pytania dotyczą każdego dostawcy w tej kategorii, także CRACI.

• Jak powstaje SBOM? Warto zapytać, które narzędzie go generuje i z czego: z lockfile i manifestów, ze skanu gotowego obrazu czy z zapisu buildu. Następnie należy uruchomić je na jednym z własnych buildów i porównać listy komponentów, łącznie z zależnościami przechodnimi.
• Certyfikaty należy sprawdzać u wystawcy. Certyfikat lub autoryzację można potwierdzić w organie, który je wydał, a „designed for” lub „aligned with” framework to nie to samo, co jego posiadanie. Strona Safeguard o bezpieczeństwie opisuje jego architekturę jako zaprojektowaną pod FedRAMP High i IL5, a audyt SOC 2 Type II jako będący w toku; zgodnie z tym sformułowaniem Safeguard nie figurował w FedRAMP Marketplace, gdy sprawdzaliśmy to 29 września 2026. CRACI ma certyfikat ISO/IEC 27001 wydany przez Into Certification, a szczegóły znajdą Państwo w Trust Center.
• Warto poprosić o referencje. Strona Safeguard opisuje jego klientów anonimowo, w ramach NDA. Niezależnie od rozważanego dostawcy, także CRACI, warto poprosić o rozmowę referencyjną z zespołem podobnym do Państwa.
• Cenę należy potwierdzić na piśmie. Opublikowane ceny się zmieniają. Cennik Safeguard zaznacza, że podane kwoty są propozycjami oczekującymi na ostateczne zatwierdzenie.

Wymagania dotyczące SBOM

Kilka frameworków wymaga SBOM i sposobu obsługi zawartych w nim podatności: US Executive Order 14028 kształtuje federalne wytyczne zakupowe dotyczące SBOM, sekcja 524B FDA wymaga go dla urządzeń cybernetycznych, a unijny Cyber Resilience Act wymaga od producentów dokumentowania komponentów. CRACI automatyzuje znaczną część widoczności łańcucha dostaw i dowodów potrzebnych w tych procesach: SBOM-y z czasu buildu eksportowane w formacie CycloneDX lub SPDX, śledzenie podatności i dane o pochodzeniu przez API. Zob. dowody dla CRA. Żadne z tych narzędzi samo w sobie nie zapewnia zgodności produktu.

Inne narzędzia w tym obszarze opisują strony CRACI vs Anchore, CRACI vs Syft i Grype oraz porównanie narzędzi SBOM.

Safeguard: odpowiedzi na pytania

Czym jest Safeguard?

Safeguard (według jego strony Safeguard.sh Inc, Dublin w Kalifornii) sprzedaje platformę bezpieczeństwa łańcucha dostaw oprogramowania. Jego strona opisuje generowanie SBOM w formatach CycloneDX i SPDX, dane o pochodzeniu SLSA, analizę osiągalności, pull requesty z poprawkami pisanymi przez AI z modeli Griffin, zarządzanie ryzykiem stron trzecich, rejestr utwardzonych komponentów oraz wdrożenie w chmurze, on-premise lub air-gapped.

Jak Safeguard generuje SBOM-y?

Według jego dokumentacji Safeguard tworzy SBOM-y z połączonych repozytoriów, obrazów kontenerów i przesłanych manifestów pakietów, a jego CLI (safeguard scan) uruchamia Syft i Grype w Państwa pipeline. Jego porównanie z Anchore podaje SBOM jako CycloneDX i SPDX "via Syft". CRACI nie skanuje: uruchamia build i rejestruje pakiety pobrane przez każde zadanie.

Czy Safeguard zapewnia runnery CI?

Nie. Dokumentacja CI Safeguard pokazuje jego CLI działające w prowadzonych przez Państwa pipeline'ach GitHub Actions, GitLab CI/CD, Jenkins i Azure DevOps oraz zaznacza, że CLI raportuje znaleziska bez przerywania buildu; egzekwowanie odbywa się w bramkach polityk platformy. CRACI jest runnerem: zadania GitHub Actions działają na CRACI, który rejestruje, co pobrało każde zadanie, i kontroluje, do czego może dotrzeć.

Ile kosztuje Safeguard?

Według stanu na wrzesień 2026 cennik Safeguard podaje plan bezpłatny z 5 pull requestami z poprawkami, 100 skanowanymi komponentami i 100 wywołaniami narzędzi MCP miesięcznie; plany indywidualne po $9, $25, $49 i $99 miesięcznie; plany Team po $19, $49 i $99 za użytkownika miesięcznie, przy minimum dwóch użytkownikach; a także Business, Enterprise i Sovereign według wyceny. Pakiety zgodności kosztują $2,099 za framework rocznie. Strona zaznacza, że podane kwoty są propozycjami oczekującymi na ostateczne zatwierdzenie, więc aktualne ceny należy potwierdzić z Safeguard. CRACI pobiera opłaty tylko za minuty buildu: $0.002 za minutę vCPU ($0.004 za domyślny runner z 2 vCPU), naliczane co sekundę.

Czy CRACI może zastąpić Safeguard?

W zakresie SBOM-ów, danych o pochodzeniu i monitorowania podatności oprogramowania budowanego w GitHub Actions tak: CRACI tworzy SBOM z samego buildu i nadal go monitoruje. CRACI nie zastępuje pull requestów z poprawkami AI, analizy osiągalności, wykrywania sekretów i błędów konfiguracji, rejestru utwardzonych komponentów ani wdrożenia air-gapped Safeguard, a dziś obsługuje tylko GitHub Actions, przy czym GitLab CI i Jenkins są w planach rozwoju.