CRACI vs Apiiro

Det korta svaret

Apiiro är en plattform för ASPM (application security posture management). Dess Deep Code Analysis kartlägger din programvaruarkitektur från kod till drift, och dess Risk Graph korrelerar fynd från Apiiros egna skannrar och från verktyg från tredje part. Dess modul för säkerhet i leveranskedjan för programvara (SSCS) inventerar repon och pipelines och flaggar risker som svagt grenskydd, felkonfigurerade pipelines och avvikande commits.

CRACI konkurrerar om samma budget för att ”säkra vår leveranskedja för programvara” från en annan position: det kör dina GitHub Actions-jobb. Apiiro resonerar om vad din kod och din pipelinekonfiguration säger ska hända. CRACI registrerar vad bygget gjorde, styr dess utgående nätverkstrafik och fortsätter att bevaka det du levererade. Ett stort AppSec-program kan köra båda. Ett team vars första behov är bevis för vad som ingick i varje release kan börja med CRACI.

I korthet

Vad Apiiro gör bra

• Arkitekturkontext utan ändringar i CI. Apiiro ansluter till ditt versionshanteringssystem via en API-integration och säger att det inte kräver någon CI/CD-konfiguration eller något underhåll. Deep Code Analysis kartlägger sedan API:er, känsliga data, GenAI-ramverk och kodägarskap, uppdaterat vid varje commit och väsentlig ändring.
• Säkerhet för AI-kodning. Guardian Agent, som lanserades i januari 2026, arbetar med AI-kodassistenter och lägger till säkerhetsriktlinjer från dina hotmodeller, efterlevnadspolicyer och din arkitektur i utvecklarnas prompter, så att assistenten styrs bort från sårbar kod innan den skriver den. AI Threat Modeling följde i mars 2026.
• Bredd. Apiiro listar inbyggd AI SAST, AI SCA, SSCS, hemligheter, infrastruktur som kod, API-säkerhet i kod, DSPM för kod och AI-hotmodellering. CRACI gör ingen av kodskanningarna i den listan.
• Prioritering. Risk Graph tar in, deduplicerar och korrelerar fynd och kedjar sedan ihop dem till ”toxiska kombinationer”. Apiiros exempel: ett repository med personuppgifter, byggt av en sårbar pipeline, som tar emot commits till en gren utan obligatoriska granskare. Tre medelallvarliga fynd blir en kritisk risk.
• Inventering av mjukvarufabriken. SSCS inventerar repon och CI/CD-pipelines, även skuggpipelines, med bidragsgivare, behörigheter, plugins och beroenden. Det följer sårbarheter i pipelinens beroenden genom hela deras livscykel, och skyddsräcken kan blockera riskabla commits och merges.
• Beroendeanalys och rättningar. AI SCA kontrollerar om en sårbar funktion faktiskt anropas, matchar beroenden mot driftsatta containrar och publika slutpunkter, upptäcker skadliga paket och upprätthåller licenspolicyer. AutoFix levererar versionshöjningar som enligt Apiiro är förhandsvaliderade för API-kompatibilitet.
• Integrationer. GitHub, GitLab, Azure DevOps, Bitbucket och Perforce för versionshantering, Jenkins och GitHub Actions för pipelinens säkerhetsläge, och en lång lista med skannrar, register och ärendeverktyg.

Där CRACI är annorlunda

Bygget är sanningskällan

Apiiros XBOM byggs genom analys av kod: varje paket, API, AI-modell och licens, uppdaterad vid varje kodändring. Det är en stark bild av vad din kod deklarerar och använder. Ett bygge gör ofta mer än koden säger. Det kör installationsskript, laddar ner verktygskedjor, återställer cachar, hämtar basavbilder och laddar ner releasebinärer.

CRACI ser den aktiviteten eftersom det är runnern. En paketmedveten proxy observerar trafiken till paketkällorna medan jobbet körs, för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache räknas ändå. Varje SBOM har en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Du vet när registreringen har en lucka.

Kontroll i runnern, inte bara säkerhetsläge

Apiiro talar om när en pipeline är felkonfigurerad eller öppen för manipulation. CRACI begränsar vad ett bygge kan nå medan det körs. Egress-policyerna nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor, typade egna källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git, och uttryckliga regler för TLS, TCP, UDP och ICMP. De valideras innan jobbet startar och blockerar vid fel, och CRACI kan varna dig vid en överträdelse.

Bevis från bygget via API:t

API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Efter leveransen

CRACI fortsätter att omvärdera SBOM:erna för det du har levererat när nya sårbarheter publiceras, och sammanställer fynd över byggen och repon.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Där Apiiro ligger före

För att säga det rakt ut: CRACI har ingen skanning för SAST, hemligheter, IaC eller API-säkerhet, tar inte in andra skannrars fynd, granskar inte grenskydd eller behörigheter i repon och har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen. CRACI blockerar däremot byggen via policyspärrar och upprätthåller licenspolicyer. Om du behöver en plattform som prioriterar risker över all din kod täcker Apiiro betydligt mer.

Vilket som passar

Apiiro passar bättre när

• Du vill ha en enda ASPM-plattform över många skannrar, repon och SCM-system.
• Din prioritet är arkitekturkontext: vilken kod som är exponerad mot internet, hanterar personuppgifter eller har ändrats väsentligt.
• Du behöver säkerhetsläge för repon och pipelines i GitLab, Azure DevOps, Bitbucket eller Jenkins.

CRACI passar bättre när

• Du bygger på GitHub Actions och vill ha runnern, egress-policyn och beroenderegistreringen på ett ställe.
• Du behöver en SBOM över vad varje bygge hämtade, med en fullständighetsstatus som du kan visa en revisor.
• Du vill ha bevakning av det du har levererat och bevis för CRA.

Att använda båda

Apiiro beskriver sig nu som en lösning för att säkra agentisk utveckling. Dess Guardian Agent styr AI-kodassistenter mot säker kod innan den skrivs, och dess XBOM kommer från analys av koden i dina repon. CRACI är CI/CD med säkerheten inbyggd i runnern, så dess SBOM registrerar vad varje bygge faktiskt hämtade, även det som kodanalys inte kan se: installationsskript, verktygskedjor, cachade paket och basavbilder. Apiiro arbetar där koden skrivs, CRACI där den byggs och levereras. CRACI ersätter runnern, inte GitHub Actions, så alla pipelineintegrationer från Apiiro fortsätter att fungera.

För Cyber Resilience Act

Cyber Resilience Act kräver att tillverkare känner till komponenterna i varje produkt, hanterar sårbarheter i dem och sparar bevis. En ASPM-plattform hjälper till med säker utveckling och med hantering av sårbarheter i din kod. CRACI automatiserar en betydande del av den insyn i leveranskedjan för programvara och de bevis som företag behöver i sitt bredare arbete med CRA-efterlevnad: SBOM:er från bygget, sårbarhetsbevakning, proveniens och SBOM-export i CycloneDX eller SPDX. Inget av verktygen gör dig regelefterlevande på egen hand. Se CRA-efterlevnad.

Att lägga till CRACI

Installera CRACI GitHub App i din organisation och ändra sedan runneretiketten på ett jobb till runs-on: craci. Körningarna syns fortfarande i GitHubs gränssnitt. Börja med ett arbetsflöde som tar fram en releaseartefakt och jämför CRACI:s SBOM med din nuvarande inventering. Läs mer om CI/CD-integration, SBOM-generering under bygget och priser.