CRACI vs Wiz

A resposta curta

A Wiz é uma plataforma de segurança de cloud e, desde 11 de março de 2026, faz parte da Google. O Wiz Code é o seu produto de segurança de código: analisa código, dependências, segredos e IaC, verifica definições de controlo de versões e de CI/CD e liga o que encontra aos recursos de cloud onde o código acaba por correr. Em abril de 2026, a Wiz alargou o Wiz Code ao GitHub Actions: agora lê ficheiros de workflow, modela workflows, jobs e runners no seu Security Graph e assinala triggers, permissões, actions de terceiros e configurações de agentes de IA de risco.

Isto é análise de configuração: diz-lhe que workflows podem ser explorados. O CRACI trabalha uma camada abaixo. É o runner para GitHub Actions, pelo que regista os pacotes que cada job realmente trouxe, aplica uma política de egress enquanto o job corre e continua a monitorizar o que foi distribuído. A Wiz cobre muito mais terreno, do código à cloud; o CRACI cobre o que acontece dentro do build.

Visão geral

"Não indicado" significa que não o conseguimos confirmar nas páginas públicas da Wiz.

O que a Wiz faz bem

Do código à cloud

• Contexto de cloud. O núcleo da Wiz é a segurança de cloud em AWS, Azure, Google Cloud e Oracle Cloud. Analisa VM, contentores e funções serverless sem agentes e ordena as vulnerabilidades com o contexto do seu Security Graph: exposição de rede, identidades, sensibilidade dos dados e caminhos de ataque.
• Mapeamento do código à cloud. O Wiz Code rastreia um risco encontrado na cloud até ao código-fonte que o produziu e sugere a correção nesse código. Para uma equipa que já usa a Wiz, as conclusões de código chegam ao mesmo grafo que tudo o resto.
• Análise num só lugar. SCA e SBOM para dependências diretas e transitivas, análise de IaC de Terraform, CloudFormation, Azure Resource Manager, Kubernetes e Docker com mais de 1.000 regras, segredos em código, modelos de IaC e imagens de contentor, dados sensíveis como PII e PHI, e análise de malware da base de código "before it reaches your CI runners". O Wiz SAST e as conclusões de scanners de terceiros completam o quadro.

GitHub Actions e postura de CI/CD

• Workflows no grafo. A Wiz lê o YAML dos workflows de GitHub Actions e modela workflows, jobs, runners e as suas relações, pelo que um pipeline se torna um ativo consultável, com contexto sobre o que o aciona e a que pode aceder.
• Configuração de risco. Assinala triggers perigosos como pull_request_target, analisa as permissões declaradas nos ficheiros de workflow e reporta problemas nas que são arriscadas ou excessivas, revela entradas de risco e possíveis fugas de segredos nas definições de pipeline, inventaria as actions de terceiros que cada workflow usa e assinala agentes de IA em workflows expostos a prompt injection.
• Referenciais. O Wiz Code verifica sistemas de controlo de versões e de CI/CD quanto a configurações incorretas e predefinições inseguras, com as OpenSSF Best Practices, o OWASP Top 10 CI/CD Risks e referenciais CIS para GitHub e GitLab.
• Deteção de ameaças. A Wiz recebe registos de auditoria de plataformas de controlo de versões e de CI/CD para apanhar eventos como um clone suspeito ou uma regra de proteção de branch eliminada, e o seu Sensor em runners de CI self-hosted consegue detetar atividade suspeita, como um runner a contactar um domínio de mineração de criptomoedas.

Onde o CRACI é diferente

Aplicação dentro do job, não conclusões sobre ele

O anúncio da Wiz descreve inventário, análise e conclusões. Não descreve o controlo do que um job pode alcançar durante a execução. A política de egress do CRACI faz parte do runner. As políticas são de negação ou de permissão por defeito, com 24 predefinições integradas de origens de software, origens personalizadas tipadas para npm, PyPI, apt, apk, o proxy de Go, Nix, Cargo, registos OCI e Git, e regras explícitas de TLS, TCP, UDP e ICMP. São validadas antes de o job arrancar e falham em modo fechado, e o CRACI alerta-o em caso de violação.

Isto importa porque os ataques à cadeia de abastecimento correm dentro de jobs que parecem corretamente configurados. A própria investigação da Wiz sobre a segunda vaga do Shai-Hulud concluiu que a maioria das infeções ocorreu em pipelines de CI/CD. Uma conclusão de postura pode dizer-lhe que um workflow está exposto; não pode travar um pacote comprometido que já está a correr. Com uma política de negação por defeito, uma ligação a um host de que o build não precisa é bloqueada, mesmo num ataque que ninguém viu antes.

O que o build obteve, não o que o código declara

A SCA do Wiz Code analisa as dependências do seu código, e as suas SBOM sem agentes descrevem cargas de trabalho na cloud. O CRACI vê o tráfego que entra em cada build: um proxy que reconhece pacotes regista cada pacote que o job obteve de origens npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de transferência, incluindo pacotes restaurados de caches de CI. É assim que o CRACI regista as dependências ocultas que as ferramentas baseadas em lockfiles não veem, como código transferido por hooks de instalação npm ou as camadas da imagem base de um build de contentor. As GitHub Actions que um workflow executou estão também na SBOM, fixadas no commit usado. Cada SBOM traz um estado de completude por job e por cache, pelo que, quando o registo tem uma lacuna, di-lo.

Evidências a partir do build

A API devolve SBOM, traços de rede e proveniência. O CRACI não assina a proveniência e não reivindica nenhum nível SLSA. O CRACI continua a reavaliar as SBOM do que distribuiu à medida que são publicadas novas vulnerabilidades e mostra todos os builds anteriores que continham uma dependência vulnerável, para que saiba durante quanto tempo esteve exposto.

Onde a Wiz está à frente

Para sermos claros: o CRACI não tem análise de SAST, segredos, IaC nem malware, não tem verificações de postura de CI/CD, monitorização de processos em runners, segurança de cloud nem mapeamento do código à cloud. Executa hoje apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. Se a sua prioridade é uma visão única do risco, do código à cloud, a Wiz cobre muito mais.

Qual se adequa melhor

A Wiz é a melhor opção quando

• Já usa a Wiz para segurança de cloud e quer o risco de código e de pipeline no mesmo grafo.
• Quer encontrar triggers, permissões e actions de terceiros de risco em muitos repositórios.
• Precisa de análise de SAST, segredos, IaC e malware com contexto de cloud para a priorização.
• Utiliza runners self-hosted e quer deteção de ameaças neles.

O CRACI é a melhor opção quando

• Quer uma política de egress aplicada dentro de cada job de GitHub Actions, não apenas conclusões sobre o workflow.
• Precisa de uma SBOM do que cada build realmente obteve, com um estado de completude que possa mostrar a um auditor.
• Quer monitorizar o que foi distribuído e ter o histórico de builds a partir do mesmo registo.

Usar ambos

As verificações de postura, a análise de código e a segurança de cloud do Wiz Code cobrem terreno em que o CRACI, por conceção, não toca, pelo que ficam onde estão. O CRACI substitui o runner, não o GitHub Actions: os seus workflows e repositórios ficam no GitHub, pelo que a Wiz continua a analisar os mesmos ficheiros de workflow enquanto os jobs correm no CRACI. O CRACI executa também builds cerca de duas vezes mais depressa do que os runners alojados no GitHub, graças a hardware mais rápido, tempos de fila mais curtos e cache, e cobra apenas os minutos de build. Consulte os preços do CRACI.

Para o Cyber Resilience Act

O Cyber Resilience Act é um de vários referenciais que pedem uma SBOM e um processo de tratamento de vulnerabilidades. O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento e das evidências de que um processo do CRA precisa: SBOM do build exportadas em CycloneDX ou SPDX, acompanhamento de vulnerabilidades e proveniência através da API. Consulte evidências para o CRA. Nenhuma das ferramentas torna um produto conforme por si só.

Para outras plataformas nesta área, consulte CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni e ferramentas de segurança da cadeia de abastecimento de software.

Wiz: perguntas e respostas

O que é o Wiz Code?

O Wiz Code é a componente de segurança de código da plataforma de segurança de cloud Wiz. Analisa código em busca de dependências vulneráveis, segredos, configurações incorretas de IaC, dados sensíveis e malware, acrescenta SAST e conclusões de scanners de terceiros, verifica as definições de controlo de versões e de CI/CD face a referenciais e rastreia riscos da cloud até ao código-fonte que os causou.

O Wiz Code protege o GitHub Actions?

O Wiz Code analisa a configuração do GitHub Actions. Desde abril de 2026, lê os ficheiros YAML de workflow e modela workflows, jobs, runners e as suas relações no Wiz Security Graph, assinala triggers perigosos como pull_request_target, reporta problemas em permissões de risco ou excessivas, inventaria actions de terceiros e assinala configurações de risco de agentes de IA. O anúncio da Wiz não descreve o controlo do que um job pode alcançar durante a execução. O CRACI é o runner, pelo que aplica uma política de egress dentro de cada job.

A Wiz faz parte da Google?

Sim. A Google concluiu a aquisição da Wiz a 11 de março de 2026. A Wiz diz que continua a ser uma plataforma multicloud que cobre AWS, Azure, Google Cloud e Oracle Cloud.

Quanto custa o Wiz?

A Wiz não publica preços de tabela. Em setembro de 2026, a sua página de preços descreve ofertas unificadas e opções à la carte, com orçamentos sob pedido. O CRACI cobra apenas os minutos de build: $0.002 por vCPU-minuto ($0.004 para um runner predefinido de 2 vCPU), medido ao segundo, sem mensalidade.

O CRACI pode substituir o Wiz Code?

Não por completo. O CRACI não tem análise de SAST, segredos, IaC nem malware, não tem verificações de postura de CI/CD nem segurança de cloud. Para builds de GitHub Actions, o CRACI acrescenta o que a análise de configuração não consegue: é o runner, pelo que regista os pacotes que cada job obteve e aplica uma política de egress enquanto o job corre.