CRACI vs Wiz

Krótka odpowiedź

Wiz to platforma bezpieczeństwa chmury, od 11 marca 2026 część Google. Wiz Code to jej produkt do bezpieczeństwa kodu: skanuje kod, zależności, sekrety i IaC, sprawdza ustawienia kontroli wersji i CI/CD oraz łączy znaleziska z zasobami chmurowymi, na których kod ostatecznie działa. W kwietniu 2026 Wiz rozszerzył Wiz Code na GitHub Actions: parsuje teraz pliki workflow, modeluje workflow, zadania i runnery w Security Graph oraz oznacza ryzykowne wyzwalacze, uprawnienia, akcje zewnętrzne i konfiguracje agentów AI.

To analiza konfiguracji: mówi, które workflow mogą zostać nadużyte. CRACI działa warstwę niżej. Jest runnerem dla GitHub Actions, więc rejestruje pakiety faktycznie pobrane przez każde zadanie, egzekwuje politykę ruchu wychodzącego podczas działania zadania i nadal monitoruje to, co dostarczono. Wiz obejmuje znacznie więcej, od kodu po chmurę; CRACI obejmuje to, co dzieje się wewnątrz buildu.

W skrócie

„Nie podano” oznacza, że nie mogliśmy tego potwierdzić na publicznych stronach Wiz.

Co Wiz robi dobrze

Od kodu do chmury

• Kontekst chmury. Rdzeniem Wiz jest bezpieczeństwo chmury w AWS, Azure, Google Cloud i Oracle Cloud. Skanuje maszyny wirtualne, kontenery i funkcje serverless bez agentów oraz szereguje podatności na podstawie kontekstu z Security Graph: ekspozycji sieciowej, tożsamości, wrażliwości danych i ścieżek ataku.
• Mapowanie code-to-cloud. Wiz Code śledzi ryzyko znalezione w chmurze aż do kodu źródłowego, który je wytworzył, i sugeruje poprawkę w tym kodzie. Dla zespołu korzystającego już z Wiz znaleziska w kodzie trafiają do tego samego grafu co cała reszta.
• Skanowanie w jednym miejscu. SCA i SBOM dla zależności bezpośrednich i przechodnich, skanowanie IaC dla Terraform, CloudFormation, Azure Resource Manager, Kubernetes i Docker według ponad 1000 reguł, sekrety w kodzie, szablonach IaC i obrazach kontenerów, dane wrażliwe, takie jak PII i PHI, oraz skanowanie kodu pod kątem złośliwego oprogramowania „before it reaches your CI runners”. Obraz uzupełniają Wiz SAST i znaleziska zewnętrznych skanerów.

Stan bezpieczeństwa GitHub Actions i CI/CD

• Workflow w grafie. Wiz parsuje pliki YAML workflow GitHub Actions i modeluje workflow, zadania, runnery oraz ich relacje, dzięki czemu pipeline staje się zasobem, który można odpytywać, z kontekstem tego, co go wyzwala i do czego ma dostęp.
• Ryzykowna konfiguracja. Oznacza niebezpieczne wyzwalacze, takie jak pull_request_target, analizuje uprawnienia zadeklarowane w plikach workflow i zgłasza problemy z ryzykownymi lub nadmiernymi, ujawnia ryzykowne dane wejściowe i potencjalne wycieki sekretów w definicjach pipeline'ów, inwentaryzuje akcje zewnętrzne używane przez każdy workflow i oznacza agentów AI w workflow podatnych na prompt injection.
• Benchmarki. Wiz Code sprawdza systemy kontroli wersji i CI/CD pod kątem błędów konfiguracji i niebezpiecznych ustawień domyślnych, według OpenSSF Best Practices, OWASP Top 10 CI/CD Risks i benchmarków CIS dla GitHub i GitLab.
• Wykrywanie zagrożeń. Wiz pobiera logi audytowe z platform kontroli wersji i CI/CD, aby wychwytywać zdarzenia, takie jak podejrzane klonowanie lub usunięcie reguły ochrony gałęzi, a jego Sensor na self-hosted runnerach CI może wykrywać podejrzaną aktywność, taką jak połączenie runnera z domeną kopania kryptowalut.

Czym różni się CRACI

Egzekwowanie wewnątrz zadania, a nie znaleziska na jego temat

Ogłoszenie Wiz opisuje inwentaryzację, analizę i znaleziska. Nie opisuje kontrolowania tego, do czego zadanie może dotrzeć podczas działania. Polityka ruchu wychodzącego CRACI jest częścią runnera. Polityki działają w trybie domyślnej odmowy lub domyślnego zezwolenia, z 24 wbudowanymi presetami źródeł oprogramowania, typowanymi źródłami niestandardowymi dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git oraz jawnymi regułami TLS, TCP, UDP i ICMP. Są walidowane przed uruchomieniem zadania i w razie błędu blokują ruch, a CRACI powiadamia Państwa o naruszeniu.

Ma to znaczenie, ponieważ ataki na łańcuch dostaw działają wewnątrz zadań, które wyglądają na poprawnie skonfigurowane. Własne badania Wiz nad drugą falą Shai-Hulud wykazały, że większość infekcji działała w pipeline'ach CI/CD. Znalezisko dotyczące stanu bezpieczeństwa może powiedzieć, że workflow jest narażony, ale nie zatrzyma przejętego pakietu, który już działa. Przy polityce domyślnej odmowy połączenie z hostem, którego build nie potrzebuje, jest blokowane, nawet przy ataku, którego nikt wcześniej nie widział.

Co build pobrał, a nie co deklaruje kod

SCA w Wiz Code skanuje zależności w Państwa kodzie, a jego bezagentowe SBOM-y opisują obciążenia chmurowe. CRACI widzi ruch przychodzący do każdego buildu: proxy rozpoznające pakiety rejestruje każdy pakiet pobrany przez zadanie ze źródeł npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i Git, a także z presetów pobierania, łącznie z pakietami przywróconymi z cache CI. W ten sposób CRACI rejestruje ukryte zależności, które umykają narzędziom opartym na lockfile, takie jak kod pobierany przez hooki instalacyjne npm lub warstwy obrazów bazowych buildu kontenera. GitHub Actions uruchomione przez workflow także znajdują się w SBOM, przypięte do użytego commita. Każdy SBOM zawiera stan kompletności dla każdego zadania i każdego cache, więc gdy zapis ma lukę, mówi o tym wprost.

Dowody z buildu

API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu i nie deklaruje żadnego poziomu SLSA. CRACI stale ponownie ocenia SBOM-y tego, co Państwo dostarczyli, w miarę publikowania nowych podatności i pokazuje każdy wcześniejszy build zawierający podatną zależność, więc wiedzą Państwo, jak długo trwało narażenie.

W czym Wiz jest lepszy

Mówiąc wprost: CRACI nie ma skanowania SAST, sekretów, IaC ani złośliwego oprogramowania, kontroli stanu bezpieczeństwa CI/CD, monitorowania procesów na runnerach, bezpieczeństwa chmury ani mapowania code-to-cloud. Obsługuje dziś tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju. Jeśli priorytetem jest jeden widok ryzyka od kodu po chmurę, Wiz obejmuje znacznie więcej.

Które rozwiązanie pasuje

Wiz sprawdzi się lepiej, gdy

• Używają już Państwo Wiz do bezpieczeństwa chmury i chcą mieć ryzyko kodu i pipeline'ów w tym samym grafie.
• Chcą Państwo znajdować ryzykowne wyzwalacze workflow, uprawnienia i akcje zewnętrzne w wielu repozytoriach.
• Potrzebują Państwo skanowania SAST, sekretów, IaC i złośliwego oprogramowania z kontekstem chmury do priorytetyzacji.
• Używają Państwo self-hosted runnerów i chcą na nich wykrywania zagrożeń.

CRACI sprawdzi się lepiej, gdy

• Chcą Państwo polityki ruchu wychodzącego egzekwowanej w każdym zadaniu GitHub Actions, a nie tylko znalezisk o workflow.
• Potrzebują Państwo SBOM tego, co każdy build faktycznie pobrał, ze stanem kompletności, który można pokazać audytorowi.
• Chcą Państwo monitorowania tego, co dostarczono, i historii buildów z tego samego zapisu.

Korzystanie z obu

Kontrole stanu bezpieczeństwa, skanowanie kodu i bezpieczeństwo chmury w Wiz Code obejmują obszary, których CRACI z założenia nie dotyka, więc pozostają na swoim miejscu. CRACI zastępuje runner, a nie GitHub Actions: Państwa workflow i repozytoria pozostają w GitHub, więc Wiz nadal analizuje te same pliki workflow, a zadania działają na CRACI. CRACI uruchamia też buildy około dwa razy szybciej niż runnery hostowane przez GitHub dzięki szybszemu sprzętowi, krótszym kolejkom i cache oraz pobiera opłaty tylko za minuty buildu. Zob. cennik CRACI.

Na potrzeby Cyber Resilience Act

Cyber Resilience Act to jeden z kilku frameworków wymagających SBOM i procesu obsługi podatności. CRACI automatyzuje znaczną część widoczności łańcucha dostaw i dowodów potrzebnych w procesie CRA: SBOM-y z czasu buildu eksportowane w formacie CycloneDX lub SPDX, śledzenie podatności i dane o pochodzeniu przez API. Zob. dowody dla CRA. Żadne z tych narzędzi samo w sobie nie zapewnia zgodności produktu.

Inne platformy w tym obszarze opisują strony CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni oraz narzędzia bezpieczeństwa łańcucha dostaw oprogramowania.

Wiz: odpowiedzi na pytania

Czym jest Wiz Code?

Wiz Code to część platformy bezpieczeństwa chmury Wiz odpowiedzialna za bezpieczeństwo kodu. Skanuje kod pod kątem podatnych zależności, sekretów, błędów konfiguracji IaC, danych wrażliwych i złośliwego oprogramowania, dodaje SAST i znaleziska zewnętrznych skanerów, sprawdza ustawienia kontroli wersji i CI/CD względem benchmarków oraz śledzi ryzyka chmurowe aż do kodu źródłowego, który je spowodował.

Czy Wiz Code zabezpiecza GitHub Actions?

Wiz Code analizuje konfigurację GitHub Actions. Od kwietnia 2026 parsuje pliki YAML workflow i modeluje workflow, zadania, runnery oraz ich relacje w Wiz Security Graph, oznacza niebezpieczne wyzwalacze, takie jak pull_request_target, zgłasza problemy z ryzykownymi lub nadmiernymi uprawnieniami, inwentaryzuje akcje zewnętrzne i oznacza ryzykowne konfiguracje agentów AI. Ogłoszenie Wiz nie opisuje kontrolowania tego, do czego zadanie może dotrzeć podczas działania. CRACI jest runnerem, więc egzekwuje politykę ruchu wychodzącego w każdym zadaniu.

Czy Wiz należy do Google?

Tak. Google sfinalizowało przejęcie Wiz 11 marca 2026. Wiz podaje, że pozostaje platformą wielochmurową obejmującą AWS, Azure, Google Cloud i Oracle Cloud.

Ile kosztuje Wiz?

Wiz nie publikuje cen katalogowych. Według stanu na wrzesień 2026 jego cennik opisuje ujednolicone oferty i opcje à la carte, z wyceną na zapytanie. CRACI pobiera opłaty tylko za minuty buildu: $0.002 za minutę vCPU ($0.004 za domyślny runner z 2 vCPU), naliczane co sekundę, bez opłaty miesięcznej.

Czy CRACI może zastąpić Wiz Code?

Nie w całości. CRACI nie ma skanowania SAST, sekretów, IaC ani złośliwego oprogramowania, kontroli stanu bezpieczeństwa CI/CD ani bezpieczeństwa chmury. Dla buildów GitHub Actions CRACI dodaje to, czego analiza konfiguracji nie zapewni: jest runnerem, więc rejestruje pakiety pobrane przez każde zadanie i egzekwuje politykę ruchu wychodzącego podczas jego działania.