CRACI vs Safeguard

Det korta svaret

Safeguard säljer en plattform för säkerhet i mjukvarans leveranskedja. Dess webbplats säger att det hittar sårbarheter, även sådana som ännu inte har någon CVE, filtrerar dem med reachability-analys och låter sina Griffin AI-modeller skriva patchen, köra din CI och merga pull requesten enligt din policy. Det genererar SBOM:er i CycloneDX och SPDX, registrerar SLSA-proveniens, kopplar bevis till efterlevnadsramverk och körs i molnet, on-premises eller air-gappat. Det kör inte byggen: dess CLI körs i den CI du redan har.

CRACI konkurrerar om samma budget för leveranskedjan från ett annat håll. Det är runnern för GitHub Actions: det registrerar paketen som varje jobb faktiskt drog in, upprätthåller en egress-policy medan jobbet körs och fortsätter att bevaka det som levererats. Safeguard täcker mer runt koden; CRACI går djupare i bygget och det som kom ut av det.

I korthet

Safeguards kolumn återger vad dess egen webbplats och dokumentation anger, kontrollerat den 29 september 2026. "Ej angivet" betyder att vi inte kunde bekräfta det där.

Vad Safeguard gör bra

• Åtgärder, inte bara fynd. Safeguard säger att Griffin AI bevisar reachability, skriver en kompatibel uppgradering, kör din CI och regressionssvit i en sandboxad gren och mergar enligt dina policyspärrar. Varje betald plan inkluderar en månatlig kvot av pull requests med åtgärder.
• Reachability först. Fynd filtreras till sårbar kod som din applikation faktiskt kan nå, vilket håller kön kort.
• Utöver beroenden. Dess CLI rapporterar också hemligheter och felkonfigurationer som SARIF, som syns på fliken för kodskanning i GitHub, och plattformen beskriver skanning av källkod, IaC och containrar.
• Härdade komponenter. En offentlig Gold-katalog och ett register med härdade avbilder och paket, så att team kan börja från komponenter utan kända CVE:er.
• Leverantörsrisk. En Third Party Risk Manager poängsätter leverantörer och verifierar SBOM:erna de tillhandahåller, och en Portal publicerar dina SBOM:er för kunder.
• CI-bredd, driftsättningsalternativ och en gratisplan. Dokumentationen täcker GitHub Actions, GitLab CI/CD, Jenkins och Azure DevOps. Det erbjuder driftsättning on-premises och air-gappat på nivån Sovereign, publicerar självbetjäningspriser och har en gratisplan utan krav på kort.

Där CRACI skiljer sig

Registreras från bygget, skannas inte i efterhand

Safeguards dokumentation säger att dess CLI kör Syft och Grype, och att det bygger SBOM:er från anslutna repon, containeravbilder och uppladdade manifest som package.json och requirements.txt. Det är standardsättet att bygga en SBOM: läs filerna och räkna ut vad som ingick. CRACI ser i stället trafiken som kommer in i varje bygge. En paketmedveten proxy registrerar varje paket som jobbet hämtade från npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar, och paket som återställs från CI-cachar stannar i registreringen.

Det är så CRACI registrerar de dolda beroenden som lockfile-baserade verktyg missar: kod som laddas ner av npm-installationshooks, Rust-byggskript som hämtar under bygget och lagren i basavbilden i ett containerbygge. Varje SBOM har en fullständighetsstatus per jobb och per cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded), så när registreringen har en lucka säger den det.

Kontroll medan bygget körs

En skanner rapporterar vad den hittar i efterhand. Eftersom CRACI är runnern avgör det vilka värdar ett jobb får nå medan det körs. Egress-policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor och typade anpassade källor, valideras innan jobbet startar och blockerar vid fel. Med en policy som nekar som standard blockeras ett komprometterat paket som försöker skicka dina hemligheter till en okänd värd, även vid en attack som ingen har sett tidigare, och CRACI varnar dig om överträdelsen.

Proveniens och bevakning från en registrering

Safeguard säger att det genererar, lagrar och verifierar SLSA-proveniens. CRACI:s proveniens kommer från runnern som jobbet kördes på: API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå. Det fortsätter att omvärdera SBOM:erna för det du har levererat när nya sårbarheter publiceras, och visar varje tidigare bygge som innehöll ett sårbart beroende, så att du vet hur länge du var exponerad.

Runnern är en del av produkten

Eftersom CRACI är runnern kommer bevisen med beräkningskraft: körningar syns fortfarande i GitHub, och CRACI kör byggen ungefär dubbelt så snabbt som GitHub-hostade runners, tack vare snabbare hårdvara, kortare kötider och cachning. CRACI tar bara betalt för byggminuter, $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift och utan avgift per SBOM. Se CRACI:s priser.

Vilken som passar

Safeguard passar bättre när

• Du vill att pull requests med åtgärder skrivs, testas och mergas åt dig.
• Du vill ha reachability-analys och fynd om hemligheter och felkonfigurationer i samma plattform.
• Du bygger på GitLab, Jenkins eller Azure DevOps.
• Du behöver driftsättning on-premises eller air-gappat i dag.
• Du vill ha ett register med härdade komponenter eller poängsättning av leverantörsrisk bredvid dina SBOM:er.

CRACI passar bättre när

• Du bygger på GitHub Actions och vill ha runnern, egress-policyn och registreringen av beroenden på ett ställe.
• Du behöver en SBOM över vad varje bygge faktiskt hämtade, med en fullständighetsstatus du kan visa en revisor.
• Du vill ha bevakning av det som levererats och bygghistorik från samma registrering.

Ersätt Safeguard med CRACI

För programvaran du bygger på GitHub Actions tar CRACI över SBOM- och bevakningsjobbet: det registrerar SBOM:en i bygget med angiven fullständighet, fortsätter att omvärdera bevakade SBOM:er, sammanställer fynd över byggen och repon och låter säkerhetsteam triagera dem och skicka vart och ett till teamet som äger åtgärden. Policyspärrar kan blockera ett bygge på grund av fynd, inklusive en viss CVE.

Var tydlig med vad du avstår från. CRACI öppnar inga pull requests med åtgärder, har ingen reachability-analys, skannar inte efter hemligheter eller felkonfigurationer, erbjuder inget register med härdade komponenter, har ingen signerad proveniens eller SLSA-nivå, upptäcker inte nya skadliga paket utifrån beteende (det flaggar kända skadliga releaser när ett säkerhetsmeddelande med en CVE har publicerats) och har inget alternativ för on-premises eller air-gappad drift i dag. Det kör bara GitHub Actions, med GitLab CI och Jenkins på roadmapen. Om automatiserad åtgärdning eller de driftsättningsalternativen betyder mer än en registrering av vad varje release byggdes av passar Safeguard bättre.

Vad du ska kontrollera innan du köper ett SBOM-verktyg

De här frågorna gäller alla leverantörer i kategorin, även CRACI.

• Hur tas SBOM:en fram? Fråga vilket verktyg som genererar den och utifrån vad: lockfiler och manifest, en skanning av den färdiga avbilden eller en registrering av bygget. Kör det sedan på ett av dina egna byggen och jämför komponentlistorna, inklusive transitiva beroenden.
• Kontrollera certifieringar hos utfärdaren. Ett certifikat eller en auktorisation kan bekräftas hos det organ som utfärdade det, och "utformad för" eller "i linje med" ett ramverk är inte samma sak som att vara certifierad enligt det. Safeguards säkerhetssida beskriver dess arkitektur som utformad för FedRAMP High och IL5 och dess SOC 2 Type II-revision som pågående; i linje med den formuleringen fanns Safeguard inte listat på FedRAMP Marketplace när vi kontrollerade den 29 september 2026. CRACI har ISO/IEC 27001-certifiering från Into Certification, med detaljer i sitt Trust Center.
• Be om referenser. Safeguards webbplats beskriver sina kunder anonymt, under NDA. Oavsett vilken leverantör du överväger, även CRACI, ska du be om ett referenssamtal med ett team som liknar ditt.
• Bekräfta priset skriftligt. Publicerade priser ändras. Safeguards prissida noterar att siffrorna är förslag i väntan på slutligt godkännande.

SBOM-krav

Flera ramverk kräver en SBOM och ett sätt att hantera sårbarheter i den: US Executive Order 14028 formar vägledningen för federal upphandling kring SBOM:er, FDA section 524B kräver en för cyberenheter, och EU:s Cyber Resilience Act kräver att tillverkare dokumenterar sina komponenter. CRACI automatiserar en betydande del av den insyn i och de bevis om leveranskedjan som de processerna behöver: SBOM:er från bygget som exporteras som CycloneDX eller SPDX, sårbarhetsspårning och proveniens via API:t. Se CRA-bevis. Inget av verktygen gör en produkt regelefterlevande på egen hand.

För andra verktyg inom området, se CRACI vs Anchore, CRACI vs Syft och Grype och SBOM-verktyg i jämförelse.

Frågor om Safeguard, besvarade

Vad är Safeguard?

Safeguard (Safeguard.sh Inc, Dublin, Kalifornien, enligt dess webbplats) säljer en plattform för säkerhet i mjukvarans leveranskedja. Webbplatsen beskriver SBOM-generering i CycloneDX och SPDX, SLSA-proveniens, reachability-analys, AI-skrivna pull requests med åtgärder från dess Griffin-modeller, hantering av tredjepartsrisker, ett register med härdade komponenter och driftsättning i molnet, on-premises eller air-gappat.

Hur genererar Safeguard SBOM:er?

Enligt dokumentationen bygger Safeguard SBOM:er från anslutna repon, containeravbilder och uppladdade paketmanifest, och dess CLI (safeguard scan) kör Syft och Grype i din pipeline. Safeguards jämförelse med Anchore anger SBOM:en som CycloneDX och SPDX "via Syft". CRACI skannar inte: det kör bygget och registrerar paketen som varje jobb hämtade.

Tillhandahåller Safeguard CI-runners?

Nej. Safeguards CI-dokumentation visar hur dess CLI körs i pipelines i GitHub Actions, GitLab CI/CD, Jenkins och Azure DevOps som du själv driver, och anger att CLI:t rapporterar fynd utan att låta bygget misslyckas; tillämpningen sker i plattformens policyspärrar. CRACI är runnern: GitHub Actions-jobb körs på CRACI, som registrerar vad varje jobb hämtade och styr vad det kan nå.

Vad kostar Safeguard?

Per september 2026 listar Safeguards prissida en gratisplan med 5 pull requests med åtgärder, 100 skannade komponenter och 100 MCP-verktygsanrop per månad; individuella planer för $9, $25, $49 och $99 per månad; Team-planer för $19, $49 och $99 per användare och månad, med minst två användare; och Business, Enterprise och Sovereign via offert. Efterlevnadspaket kostar $2,099 per ramverk och år. Sidan noterar att siffrorna är förslag i väntan på slutligt godkännande, så bekräfta aktuella priser med Safeguard. CRACI tar bara betalt för byggminuter: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund.

Kan CRACI ersätta Safeguard?

För SBOM:er, proveniens och sårbarhetsbevakning av programvara du bygger på GitHub Actions, ja: CRACI tar fram SBOM:en från själva bygget och fortsätter att bevaka den. CRACI ersätter inte Safeguards AI-skrivna pull requests med åtgärder, reachability-analys, upptäckt av hemligheter och felkonfigurationer, register med härdade komponenter eller air-gappad driftsättning, och det kör i dag bara GitHub Actions, med GitLab CI och Jenkins på roadmapen.