CRACI vs Trivy

Det korta svaret

Trivy är ett av de mest användbara gratis säkerhetsverktyg som finns. Det skannar containeravbilder, filsystem, repon, avbilder för virtuella maskiner och Kubernetes efter sårbarheter, felkonfigurationer, hemligheter och licenser, och det skriver SBOM:er på köpet. CRACI är en GitHub Actions-runner som registrerar vad varje bygge hämtade, styr vart bygget kan ansluta och fortsätter att spåra sårbarheter i det som levererats. Den grundläggande skillnaden: Trivy härleder komponentlistan från filer, medan CRACI observerar den. För SBOM:en och sårbarheterna i beroenden för programvaran du bygger ersätter CRACI Trivy. För resten av det Trivy skannar väljer du ett verktyg per jobb från listan nedan.

Därför letar team efter alternativ till Trivy

• Intrånget i leveranskedjan i mars 2026. Aqua Securitys säkerhetsmeddelande (CVE-2026-33634) beskriver en skadlig release av Trivy v0.69.4 och förgiftade taggar för trivy-action och setup-trivy den 19 mars 2026, följt av skadliga Docker Hub-avbilder den 22 mars. Den injicerade koden stal inloggningsuppgifter från CI-runners. Aqua publicerade säkra versioner och rekommenderar att låsa actions till fullständiga commit-SHA:er.
• En skanning är inte spårning. Trivy rapporterar vad det hittar när det körs. Att hålla reda på fynd, ägare och status över repon och releaser, och att kontrollera levererad programvara på nytt när nya säkerhetsmeddelanden dyker upp, lämnas åt dig.
• SBOM:en härleds från filer. En skanning före bygget läser lockfiler. Där ett repo inte har några incheckade finns det lite att läsa, och versionerna som en riktig installation löser avgörs vid byggtillfället.
• Bredd före djup. En enda binär täcker många jobb. Team som behöver mer inom ett område, som infrastructure as code eller containeravbilder, flyttar ofta det jobbet till ett särskilt verktyg.

Varje skanner som din pipeline laddar ner och kör är själv en del av din mjukvaruleveranskedja och körs bredvid jobbets hemligheter. På CRACI registrerar runnern SBOM:en, så det finns inget skannersteg att ladda ner för programvaran du bygger. Runnerns egress-policy kan begränsa vilka värdar varje steg i jobbet når, och varje jobbs nätverksspårning registreras. Att låsa actions till commit-SHA:er, som Aqua rekommenderar, gäller också på CRACI.

Alternativ till Trivy, efter det jobb Trivy gör åt dig

• SBOM:er och sårbarheter i beroenden för programvara du bygger: CRACI. Det registrerar SBOM:en från bygget, fortsätter att omvärdera den och skickar fynd till teamet som äger dem.
• Skanning av containeravbilder och filsystem: Grype, Anchores sårbarhetsskanner med öppen källkod för containeravbilder, filsystem och SBOM:er, med EPSS- och KEV-data för prioritering. Den kombineras med Syft för SBOM:er. Se CRACI vs Syft och Grype.
• Infrastructure as code: Checkov skannar Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, Dockerfiles, Bicep och ARM-mallar, och kontrollerar också hemligheter och open source-paket. KICS täcker Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi och mer. Båda har öppen källkod under Apache-2.0.
• Hemligheter: Gitleaks upptäcker lösenord, API-nycklar och tokens i Git-repon och filer, med öppen källkod under MIT.
• En kommersiell skanner med råd om åtgärder: se CRACI vs Snyk och jämförelsen av SCA-verktyg.

För varje alternativ mer i detalj, och för Grype vs Trivy, se hela guiden till alternativ till Trivy.

Vad Trivy gör bra

Trivys egen beskrivning är "a comprehensive and versatile security scanner", och det stämmer. En enda binär täcker flera jobb som annars skulle kräva separata verktyg:

• Många mål. Containeravbilder, filsystem, fjärranslutna Git-repon, avbilder för virtuella maskiner och Kubernetes.
• Många skannrar. OS-paket och programvaruberoenden, kända sårbarheter, felkonfigurationer i infrastructure as code, hemligheter och programvarulicenser.
• SBOM:er in och ut. trivy fs --format cyclonedx eller --format spdx-json skriver en SBOM, och trivy sbom skannar en befintlig SBOM efter sårbarheter.
• Körs var som helst. Det har öppen källkod under Apache-2.0, fungerar som CLI och har en GitHub Action och en Kubernetes-operator.

CRACI gör ingen skanning av IaC, hemligheter eller kluster. Om du behöver kontrollera en Terraform-plan, fånga en incheckad token eller skanna en tredjepartsavbild du inte har byggt är Trivy eller något av verktygen ovan rätt val.

2:07

Där CRACI skiljer sig

Trivy läser filer; CRACI följer bygget

Trivys dokumentation är tydlig med sin metod: "If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files." För ett mål efter bygget, som en containeravbild, läser det i stället metadata om installerade paket och binärer. För Node.js-repon betyder det package-lock.json, yarn.lock, pnpm-lock.yaml eller bun.lock.

Den utformningen är rimlig, och den har en förutsägbar gräns. expressjs/express 5.2.1 har ingen incheckad lockfile, och repot anthropics/claude-code har inget beroendemanifest alls, så vid en skanning före bygget av något av dem finns det inget för Trivy att läsa. Det är Trivy som fungerar enligt dokumentationen, inte ett fel. Versionerna som en riktig installation skulle lösa avgörs vid byggtillfället.

CRACI börjar från andra hållet. Jobb körs med runs-on: craci, och en paketmedveten proxy registrerar vad jobbet hämtar från npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Paket som återställs från en CI-cache tar med sig sina bevis. SBOM:en (CycloneDX eller SPDX) beskriver vad bygget faktiskt använde, med eller utan lockfile.

Det säger till när registreringen är ofullständig

Varje CRACI-jobb och cache har en fullständighetsstatus: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. En tom eller tunn SBOM syns som just det, i stället för att se likadan ut som ett projekt med få beroenden.

Det styr bygget

Eftersom CRACI kör jobbet kan det upprätthålla en egress-policy för nätverket: neka eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor, validering innan jobbet startar och blockering vid fel. Egress-kontroll ligger utanför Trivys område. API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. För signering visar Trivys dokumentation ett flöde med två verktyg: Trivy skriver SBOM:en och Cosign signerar den som en attestering.

Det fortsätter att bevaka

Trivy skannar när du kör det. CRACI samlar sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er, och säkerhetsteam kan triagera fynd och skicka dem till teamet som äger åtgärden. Leverantörers SBOM:er bevakas tillsammans med dina egna byggen. CRACI:s policykontroller kan blockera ett bygge; tröskelvarningar finns på roadmapen.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp kan du se vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Flytta från Trivy

På CRACI finns det ingen SBOM att generera och ingen beroendeskanning att underhålla för de byggen du levererar. Runnern registrerar SBOM:en medan bygget körs, och CRACI fortsätter att kontrollera den mot nya sårbarheter efter att bygget är klart.

Var tydlig med vad CRACI inte gör. Det skannar inte infrastructure as code, Kubernetes-kluster eller avbilder för virtuella maskiner, det letar inte efter hemligheter eller felkonfigurationer, och det skannar inte avbilder eller programvara du inte har byggt. Tröskelvarningar finns på roadmapen. Det kör bara GitHub Actions i dag, med GitLab CI och Jenkins på roadmapen. Om du förlitar dig på Trivy för något av det, behåll Trivy för det.

För Cyber Resilience Act

CRA kräver att tillverkare dokumenterar komponenterna i varje produkt, inklusive en SBOM, och att de hanterar och rapporterar sårbarheter i det de levererar. Trivy hjälper till genom att hitta sårbarheter och felkonfigurationer och genom att ta fram SBOM:er, och beviskedjan från release till SBOM får du bygga själv. CRACI registrerar SBOM:en per bygge, knyter den till artefakten, exporterar SBOM:er som CycloneDX eller SPDX och skickar in CRA-anmälningarna om sårbarheter åt dig. Det automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Se vad CRA är och SBOM-generering under bygget.

CRACI vs Trivy: vanliga frågor

Gratisalternativ, intrånget i mars 2026 och vad CRACI ersätter

Vilket är det bästa alternativet till Trivy?

Det beror på vilket av Trivys jobb du ersätter. För SBOM:er och sårbarheter i beroenden i programvara du bygger med GitHub Actions registrerar CRACI SBOM:en från bygget och fortsätter att spåra den. För skanning av containeravbilder är Grype en nära motsvarighet med öppen källkod. För infrastructure as code finns Checkov och KICS med öppen källkod. För hemligheter finns Gitleaks. Inget enskilt verktyg ersätter hela Trivy.

Finns det ett gratis alternativ till Trivy?

Ja. Grype (avbilder, filsystem och SBOM:er), Checkov och KICS (infrastructure as code) har öppen källkod under Apache-2.0, och Gitleaks (hemligheter) har öppen källkod under MIT. CRACI är en betald produkt som debiteras per byggminut utan månadsavgift.

Är Trivy fortfarande säkert att använda efter intrånget i mars 2026?

Aqua Securitys säkerhetsmeddelande (CVE-2026-33634) beskriver en skadlig release av Trivy v0.69.4 och förgiftade taggar för trivy-action och setup-trivy den 19 mars 2026, och skadliga Docker Hub-avbilder den 22 mars. Aqua listar säkra versioner och rekommenderar att rotera hemligheter som kan ha exponerats och att låsa GitHub Actions till fullständiga commit-SHA:er. Kontrollera säkerhetsmeddelandet för de versioner du kör.

Vad är skillnaden mellan Trivy och Grype?

Båda är skannrar med öppen källkod under Apache-2.0. Grype fokuserar på sårbarheter i containeravbilder, filsystem och SBOM:er och kombineras med Syft för SBOM-generering. Trivy täcker fler mål och skannrar i en enda binär, inklusive infrastructure as code, hemligheter, licenser, avbilder för virtuella maskiner och Kubernetes.

Kan CRACI ersätta Trivy?

För SBOM:en och sårbarheterna i beroenden för programvaran du bygger på GitHub Actions, ja: CRACI registrerar SBOM:en medan bygget körs och fortsätter att omvärdera den mot sårbarhetsdata. CRACI skannar inte infrastructure as code, Kubernetes-kluster, avbilder för virtuella maskiner, hemligheter, felkonfigurationer eller avbilder du inte har byggt. Behåll Trivy, eller en annan skanner, för det.

Skannar CRACI Terraform eller annan infrastructure as code?

Nej. CRACI registrerar vad dina byggen hämtar och spårar sårbarheter i det du levererar. För Terraform och annan infrastructure as code, använd Trivys skanner för felkonfigurationer eller ett särskilt verktyg som Checkov eller KICS.