CRACI vs Wiz

Det korta svaret

Wiz är en molnsäkerhetsplattform och sedan den 11 mars 2026 en del av Google. Wiz Code är dess kodsäkerhetsprodukt: den skannar kod, beroenden, hemligheter och IaC, kontrollerar inställningar för versionshantering och CI/CD och kopplar det den hittar till molnresurserna som koden till slut körs på. I april 2026 utökade Wiz Wiz Code till GitHub Actions: det tolkar nu arbetsflödesfiler, modellerar arbetsflöden, jobb och runners i sin Security Graph och flaggar riskabla triggers, behörigheter, tredjepartsactions och konfigurationer av AI-agenter.

Det är konfigurationsanalys: den talar om vilka arbetsflöden som skulle kunna missbrukas. CRACI arbetar ett lager längre ner. Det är runnern för GitHub Actions, så det registrerar paketen som varje jobb faktiskt drog in, upprätthåller en egress-policy medan jobbet körs och fortsätter att bevaka det som levererats. Wiz täcker mycket mer, från kod till moln; CRACI täcker det som händer inne i bygget.

I korthet

"Ej angivet" betyder att vi inte kunde bekräfta det på Wiz offentliga sidor.

Vad Wiz gör bra

Från kod till moln

• Molnkontext. Wiz kärna är molnsäkerhet för AWS, Azure, Google Cloud och Oracle Cloud. Det skannar virtuella maskiner, containrar och serverlösa funktioner utan agenter och rangordnar sårbarheter med kontext från sin Security Graph: nätverksexponering, identiteter, datakänslighet och attackvägar.
• Koppling från kod till moln. Wiz Code spårar en risk som hittats i molnet tillbaka till källkoden som skapade den och föreslår åtgärden i den koden. För ett team som redan använder Wiz hamnar kodfynd i samma graf som allt annat.
• Skanning på ett ställe. SCA och SBOM för direkta och transitiva beroenden, IaC-skanning av Terraform, CloudFormation, Azure Resource Manager, Kubernetes och Docker mot fler än 1 000 regler, hemligheter i kod, IaC-mallar och containeravbilder, känsliga data som PII och PHI, och skanning av kodbasen efter skadlig kod "before it reaches your CI runners". Wiz SAST och fynd från tredjepartsskannrar fullbordar bilden.

GitHub Actions och CI/CD-posture

• Arbetsflöden i grafen. Wiz tolkar YAML för GitHub Actions-arbetsflöden och modellerar arbetsflöden, jobb, runners och deras relationer, så att en pipeline blir en sökbar tillgång med kontext om vad som utlöser den och vad den kan komma åt.
• Riskabel konfiguration. Det flaggar farliga triggers som pull_request_target, analyserar behörigheterna som deklareras i arbetsflödesfiler och skapar ärenden för riskabla eller alltför breda behörigheter, lyfter fram riskabla indata och möjliga läckor av hemligheter i pipelinedefinitioner, inventerar tredjepartsactions som varje arbetsflöde använder och flaggar AI-agenter i arbetsflöden som är öppna för prompt injection.
• Benchmarks. Wiz Code kontrollerar system för versionshantering och CI/CD efter felkonfigurationer och osäkra standardinställningar, med OpenSSF Best Practices, OWASP Top 10 CI/CD Risks och CIS-benchmarks för GitHub och GitLab.
• Hotdetektering. Wiz tar in granskningsloggar från plattformar för versionshantering och CI/CD för att fånga händelser som en misstänkt kloning eller en borttagen regel för grenskydd, och dess Sensor på egenhostade CI-runners kan upptäcka misstänkt aktivitet, till exempel en runner som kontaktar en kryptomining-domän.

Där CRACI skiljer sig

Tillämpning inne i jobbet, inte fynd om det

Wiz meddelande beskriver inventering, analys och fynd. Det beskriver inte någon kontroll av vad ett jobb kan nå medan det körs. CRACI:s egress-policy är en del av runnern. Policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor, typade anpassade källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git, och explicita regler för TLS, TCP, UDP och ICMP. De valideras innan jobbet startar och blockerar vid fel, och CRACI varnar dig vid en överträdelse.

Det spelar roll eftersom attacker mot leveranskedjan körs inne i jobb som ser korrekt konfigurerade ut. Wiz egen forskning om den andra Shai-Hulud-vågen visade att de flesta infektionerna kördes i CI/CD-pipelines. Ett posture-fynd kan tala om att ett arbetsflöde är exponerat; det kan inte stoppa ett komprometterat paket som redan körs. Med en policy som nekar som standard blockeras en anslutning till en värd som bygget inte behöver, även vid en attack som ingen har sett tidigare.

Vad bygget hämtade, inte vad koden deklarerar

Wiz Codes SCA skannar beroendena i din kod, och dess agentlösa SBOM:er beskriver molnarbetslaster. CRACI ser trafiken som kommer in i varje bygge: en paketmedveten proxy registrerar varje paket som jobbet hämtade från npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar, inklusive paket som återställs från CI-cachar. Det är så CRACI registrerar de dolda beroenden som lockfile-baserade verktyg missar, till exempel kod som laddas ner av npm-installationshooks eller lagren i basavbilden i ett containerbygge. De GitHub Actions som ett arbetsflöde körde finns också i SBOM:en, låsta till den commit som användes. Varje SBOM har en fullständighetsstatus per jobb och per cache, så när registreringen har en lucka säger den det.

Bevis från bygget

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå. CRACI fortsätter att omvärdera SBOM:erna för det du har levererat när nya sårbarheter publiceras, och visar varje tidigare bygge som innehöll ett sårbart beroende, så att du vet hur länge du var exponerad.

Där Wiz ligger före

För att säga det rakt ut: CRACI har ingen SAST, ingen skanning av hemligheter, IaC eller skadlig kod, inga posture-kontroller för CI/CD, ingen processövervakning på runners, ingen molnsäkerhet och ingen koppling från kod till moln. Det kör i dag bara GitHub Actions, med GitLab CI och Jenkins på roadmapen. Om din prioritet är en samlad bild av risker från kod till moln täcker Wiz mycket mer.

Vilken som passar

Wiz passar bättre när

• Du redan använder Wiz för molnsäkerhet och vill ha kod- och pipelinerisker i samma graf.
• Du vill hitta riskabla triggers, behörigheter och tredjepartsactions i arbetsflöden över många repon.
• Du behöver SAST och skanning av hemligheter, IaC och skadlig kod med molnkontext för prioritering.
• Du kör egenhostade runners och vill ha hotdetektering på dem.

CRACI passar bättre när

• Du vill ha en egress-policy som tillämpas inne i varje GitHub Actions-jobb, inte bara fynd om arbetsflödet.
• Du behöver en SBOM över vad varje bygge faktiskt hämtade, med en fullständighetsstatus du kan visa en revisor.
• Du vill ha bevakning av det som levererats och bygghistorik från samma registrering.

Använda båda

Wiz Codes posture-kontroller, kodskanning och molnsäkerhet täcker områden som CRACI medvetet inte berör, så de stannar där de är. CRACI ersätter runnern, inte GitHub Actions: dina arbetsflöden och repon stannar i GitHub, så Wiz fortsätter att analysera samma arbetsflödesfiler medan jobben körs på CRACI. CRACI kör också byggen ungefär dubbelt så snabbt som GitHub-hostade runners, tack vare snabbare hårdvara, kortare kötider och cachning, och tar bara betalt för byggminuter. Se CRACI:s priser.

För Cyber Resilience Act

Cyber Resilience Act är ett av flera ramverk som kräver en SBOM och en process för sårbarhetshantering. CRACI automatiserar en betydande del av den insyn i och de bevis om leveranskedjan som en CRA-process behöver: SBOM:er från bygget som exporteras som CycloneDX eller SPDX, sårbarhetsspårning och proveniens via API:t. Se CRA-bevis. Inget av verktygen gör en produkt regelefterlevande på egen hand.

För andra plattformar inom området, se CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni och verktyg för säkerhet i programvarans leveranskedja.

Frågor om Wiz, besvarade

Vad är Wiz Code?

Wiz Code är kodsäkerhetsdelen av molnsäkerhetsplattformen Wiz. Den skannar kod efter sårbara beroenden, hemligheter, felkonfigurationer i IaC, känsliga data och skadlig kod, lägger till SAST och fynd från tredjepartsskannrar, kontrollerar inställningar för versionshantering och CI/CD mot benchmarks och spårar molnrisker tillbaka till källkoden som orsakade dem.

Skyddar Wiz Code GitHub Actions?

Wiz Code analyserar konfigurationen av GitHub Actions. Sedan april 2026 tolkar det arbetsflödenas YAML-filer och modellerar arbetsflöden, jobb, runners och deras relationer i Wiz Security Graph, flaggar farliga triggers som pull_request_target, skapar ärenden för riskabla eller alltför breda behörigheter, inventerar tredjepartsactions och flaggar riskabla uppsättningar av AI-agenter. Wiz meddelande beskriver inte någon kontroll av vad ett jobb kan nå medan det körs. CRACI är runnern, så det upprätthåller en egress-policy inne i varje jobb.

Är Wiz en del av Google?

Ja. Google slutförde sitt förvärv av Wiz den 11 mars 2026. Wiz säger att det förblir en multimolnplattform som täcker AWS, Azure, Google Cloud och Oracle Cloud.

Vad kostar Wiz?

Wiz publicerar inga listpriser. Per september 2026 beskriver dess prissida samlade erbjudanden och à la carte-alternativ, med offert på begäran. CRACI tar bara betalt för byggminuter: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift.

Kan CRACI ersätta Wiz Code?

Inte som helhet. CRACI har ingen SAST, ingen skanning av hemligheter, IaC eller skadlig kod, inga posture-kontroller för CI/CD och ingen molnsäkerhet. För GitHub Actions-byggen tillför CRACI det som konfigurationsanalys inte kan: det är runnern, så det registrerar paketen som varje jobb hämtade och upprätthåller en egress-policy medan jobbet körs.