CRACI vs Xygeni

Krótka odpowiedź

Xygeni to platforma bezpieczeństwa aplikacji z Valladolid w Hiszpanii. Opisuje się jako „one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end”. Jej moduły obejmują SAST, SCA z osiągalnością i wykrywaniem złośliwego oprogramowania, sekrety, IaC, kontenery, bezpieczeństwo CI/CD, bezpieczeństwo buildu z poświadczeniami SLSA i in-toto, wykrywanie anomalii, DAST, bezpieczeństwo API i warstwę ASPM. Publikuje ceny i ma plan bezpłatny. Nie uruchamia buildów: podłącza się do używanych już przez Państwa systemów CI.

CRACI konkuruje o ten sam budżet na łańcuch dostaw z innej pozycji. Jest runnerem dla GitHub Actions: rejestruje pakiety faktycznie pobrane przez każde zadanie, egzekwuje politykę ruchu wychodzącego podczas działania zadania i nadal monitoruje to, co dostarczono. Xygeni jest znacznie szerszy w obszarze AppSec; CRACI sięga głębiej w build i to, co z niego wyszło.

W skrócie

„Nie podano” oznacza, że nie mogliśmy tego potwierdzić na publicznych stronach Xygeni.

Co Xygeni robi dobrze

• Szeroki zakres na jednej platformie. SAST z automatycznymi poprawkami AI, SCA z osiągalnością i automatycznymi pull requestami z aktualizacjami, wykrywanie sekretów z automatycznym unieważnianiem, skanowanie IaC i obrazów kontenerów, a w Enterprise DAST, bezpieczeństwo API i ASPM z importem danych zewnętrznych.
• Złośliwe oprogramowanie w open source. Xygeni podaje, że codziennie analizuje tysiące nowych i zaktualizowanych pakietów open source, używa silnika wspieranego ML do wykrywania nieznanego złośliwego oprogramowania, poddaje podejrzane pakiety kwarantannie i może je blokować firewallem zależności. To wykracza poza dopasowywanie CVE.
• Bezpieczeństwo CI/CD. Szuka błędów konfiguracji w skryptach buildu i pipeline'ach, odpowiada na ryzyka OWASP Top 10 CI/CD, sprawdza ustawienia, takie jak ochrona gałęzi i uwierzytelnianie wieloskładnikowe, oraz oznacza szkodliwe polecenia w pipeline'ach, takie jak reverse shell i pobieranie złośliwego oprogramowania.
• Poświadczenia buildu. Build Security dodaje jeden wiersz do pipeline'u, aby zbierać dowody z każdego etapu buildu i generować dane o pochodzeniu SLSA oraz poświadczenia in-toto, podpisywane bezkluczowo. Poświadczenia mogą zawierać skany podatności, SBOM-y w SPDX lub CycloneDX i wyniki testów, a zmanipulowane artefakty można zablokować przed dostarczeniem.
• Wykrywanie anomalii. Sensory dla GitHub, GitLab, Jenkins i Azure obserwują nieautoryzowane zmiany w kodzie, zależnościach, pipeline'ach i konfiguracji buildu oraz alarmują w czasie rzeczywistym.
• Szerokie pokrycie CI i opublikowane ceny. Xygeni wymienia integracje z GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI i Travis CI oraz oferuje wdrożenie on-premise w Enterprise.

Czym różni się CRACI

Rejestrowane z buildu, a nie odczytywane z deskryptorów

Dokumentacja Xygeni podaje, że jego analizatory przetwarzają deskryptory zależności, aby wyodrębnić zależności bezpośrednie i pośrednie oraz rozwiązać ich wersje. To standardowy sposób tworzenia SBOM z repozytorium. CRACI widzi natomiast ruch przychodzący do każdego buildu: proxy rozpoznające pakiety rejestruje każdy pakiet pobrany przez zadanie ze źródeł npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i Git, a także z presetów pobierania. Pakiety przywrócone z cache CI pozostają w zapisie.

W ten sposób CRACI rejestruje ukryte zależności, które umykają narzędziom opartym na lockfile: kod pobierany przez hooki instalacyjne npm, skrypty buildu Rust pobierające dane w czasie buildu oraz warstwy obrazów bazowych buildu kontenera. Każdy SBOM zawiera stan kompletności dla każdego zadania i każdego cache (Complete, Complete with connections, Incomplete, Unavailable lub Not recorded), więc gdy zapis ma lukę, mówi o tym wprost.

Kontrola podczas działania buildu

Kontrole CI/CD Xygeni sprawdzają, jak skonfigurowane są pipeline'y i jakie zawierają polecenia. CRACI ogranicza, do czego build może dotrzeć. Polityki ruchu wychodzącego działają w trybie domyślnej odmowy lub domyślnego zezwolenia, z 24 wbudowanymi presetami źródeł oprogramowania, typowanymi źródłami niestandardowymi dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git oraz jawnymi regułami TLS, TCP, UDP i ICMP. Są walidowane przed uruchomieniem zadania i w razie błędu blokują ruch. Ponieważ polityka domyślnej odmowy zezwala tylko na to, czego build potrzebuje, przejęty pakiet, który próbuje wysłać Państwa sekrety na nieznany host, zostaje zablokowany, nawet przy ataku, którego nikt wcześniej nie widział, a CRACI powiadamia Państwa o naruszeniu.

Pochodzenie i monitorowanie z jednego zapisu

Xygeni podpisuje poświadczenia z kroku dodanego do Państwa pipeline'u. Zapis CRACI pochodzi z runnera, na którym działało zadanie: API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu i nie deklaruje żadnego poziomu SLSA. CRACI stale ponownie ocenia SBOM-y tego, co Państwo dostarczyli, w miarę publikowania nowych podatności i pokazuje każdy wcześniejszy build zawierający podatną zależność, więc wiedzą Państwo, jak długo trwało narażenie.

Runner jest częścią produktu

Ponieważ CRACI jest runnerem, dowody są dostarczane razem z mocą obliczeniową: uruchomienia nadal są widoczne w GitHub, a CRACI uruchamia buildy około dwa razy szybciej niż runnery hostowane przez GitHub dzięki szybszemu sprzętowi, krótszym kolejkom i cache. CRACI pobiera opłaty tylko za minuty buildu, $0.002 za minutę vCPU ($0.004 za domyślny runner z 2 vCPU), naliczane co sekundę, bez opłaty miesięcznej i bez opłat za SBOM. Zob. cennik CRACI.

Które rozwiązanie pasuje

Xygeni sprawdzi się lepiej, gdy

• Chcą Państwo jednej platformy AppSec dla SAST, SCA, sekretów, IaC, kontenerów i konfiguracji pipeline'ów.
• Chcą Państwo wykrywać i blokować złośliwe pakiety open source, zanim pojawi się biuletyn.
• Budują Państwo w GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI lub Travis CI.
• Potrzebują Państwo poświadczeń SLSA i in-toto lub wdrożenia on-premise.
• Mały zespół chce zacząć od planu bezpłatnego z opublikowanymi cenami.

CRACI sprawdzi się lepiej, gdy

• Budują Państwo w GitHub Actions i chcą mieć runner, politykę ruchu wychodzącego i zapis zależności w jednym miejscu.
• Potrzebują Państwo SBOM tego, co każdy build faktycznie pobrał, ze stanem kompletności, który można pokazać audytorowi.
• Chcą Państwo monitorowania tego, co dostarczono, i historii buildów z tego samego zapisu.

Z czego rezygnują Państwo, przenosząc dowody z buildu do CRACI

W przypadku oprogramowania budowanego w GitHub Actions CRACI przejmuje zadanie eksportu SBOM z Xygeni: zapis, dane o pochodzeniu i monitorowanie pochodzą z runnera. Mówiąc wprost o kosztach: CRACI nie ma analizy osiągalności, nie wykrywa nowych złośliwych pakietów na podstawie zachowania ani reputacji (oznacza znane złośliwe wydania po opublikowaniu biuletynu z CVE), nie otwiera pull requestów z aktualizacjami, nie podpisuje danych o pochodzeniu, nie deklaruje żadnego poziomu SLSA, nie ma wykrywania anomalii w kontroli wersji i obsługuje dziś tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju.

SAST, sekrety, IaC i kontrole stanu bezpieczeństwa CI/CD Xygeni obejmują obszary, których CRACI z założenia nie dotyka, więc mogą pozostać na swoim miejscu. CRACI zastępuje runner, a nie GitHub Actions, więc krok skanowania działa na runnerze CRACI jak każdy inny krok.

Na potrzeby Cyber Resilience Act

Cyber Resilience Act to jeden z kilku frameworków wymagających SBOM i procesu obsługi podatności. Xygeni wymienia w planie Business kontrole zgodności łańcucha dostaw oprogramowania względem CIS i OpenSSF. CRACI automatyzuje znaczną część widoczności łańcucha dostaw i dowodów potrzebnych w procesie CRA: SBOM-y z czasu buildu eksportowane w formacie CycloneDX lub SPDX, śledzenie podatności i dane o pochodzeniu przez API. Zob. dowody dla CRA. Żadne z tych narzędzi samo w sobie nie zapewnia zgodności produktu.

Inne platformy w tym obszarze opisują strony CRACI vs Cycode, CRACI vs OX Security, CRACI vs Wiz oraz narzędzia bezpieczeństwa łańcucha dostaw oprogramowania.

Xygeni: odpowiedzi na pytania

Czym jest Xygeni?

Xygeni to platforma bezpieczeństwa aplikacji z Valladolid w Hiszpanii. Łączy własne skanery (SAST, SCA z osiągalnością i wykrywaniem złośliwego oprogramowania, sekrety, IaC, kontenery, bezpieczeństwo CI/CD, a opcjonalnie DAST i bezpieczeństwo API) z warstwą ASPM oraz bezpieczeństwem buildu z poświadczeniami SLSA i in-toto i wykrywaniem anomalii w systemach kontroli wersji i CI.

Ile kosztuje Xygeni?

Według stanu na wrzesień 2026 cennik Xygeni pokazuje plan bezpłatny z SAST, SCA, sekretami i wtyczką IDE dla maksymalnie 10 repozytoriów, 200 skanów miesięcznie i 5 współtwórców. Team zaczyna się od około $3,828 (€3,300) rocznie, a Business od około $6,844 (€5,900) rocznie, każdy z 10 współtwórcami, natomiast Enterprise jest wyceniany indywidualnie. Współtwórca to każdy, kto w ciągu ostatnich 90 dni wykonał commit w skanowanym repozytorium. Build Security i Anomalies Detection to opcje Enterprise.

Czy Xygeni zapewnia runnery CI?

Nie. Xygeni integruje się z używanymi przez Państwa systemami CI, takimi jak GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI i Travis CI, oraz dodaje do pipeline'ów swoje skanery i krok poświadczeń. CRACI jest runnerem: zadania GitHub Actions działają na CRACI, który rejestruje, co pobrało każde zadanie, i kontroluje, do czego może dotrzeć.

Jaka jest różnica między Xygeni a CRACI?

Xygeni to szeroka platforma AppSec, która skanuje kod, zależności, sekrety, IaC i konfigurację pipeline'ów w wielu systemach CI. CRACI to runner GitHub Actions, który rejestruje pakiety faktycznie pobrane przez każdy build, egzekwuje politykę ruchu wychodzącego podczas działania i nadal monitoruje to, co dostarczono. Xygeni jest znacznie szerszy; CRACI rejestruje sam build.

Czy CRACI może zastąpić Xygeni?

W zakresie dowodów z buildu oprogramowania budowanego w GitHub Actions tak: zarejestrowany SBOM, dane o pochodzeniu i monitorowanie podatności w CRACI obejmują to zadanie. CRACI nie zastępuje SAST, sekretów, IaC, kontroli stanu bezpieczeństwa CI/CD, wykrywania złośliwego oprogramowania ani analizy osiągalności Xygeni, a dziś obsługuje tylko GitHub Actions, przy czym GitLab CI i Jenkins są w planach rozwoju.