CRACI vs Xygeni

Det korta svaret

Xygeni är en plattform för applikationssäkerhet från Valladolid i Spanien. Företaget beskriver den som "one AI-powered platform that detects, prioritizes, and remediates vulnerabilities and malware end-to-end". Dess moduler täcker SAST, SCA med reachability och upptäckt av skadlig kod, hemligheter, IaC, containrar, CI/CD-säkerhet, byggsäkerhet med SLSA- och in-toto-attesteringar, avvikelsedetektering, DAST, API-säkerhet och ett ASPM-lager. Det publicerar sina priser och har en gratisplan. Det kör inte byggen: det kopplas in i CI-systemen du redan använder.

CRACI konkurrerar om samma budget för leveranskedjan från ett annat håll. Det är runnern för GitHub Actions: det registrerar paketen som varje jobb faktiskt drog in, upprätthåller en egress-policy medan jobbet körs och fortsätter att bevaka det som levererats. Xygeni är mycket bredare inom AppSec; CRACI går djupare på bygget och det som kom ut av det.

I korthet

"Ej angivet" betyder att vi inte kunde bekräfta det på Xygenis offentliga sidor.

Vad Xygeni gör bra

• Bredd i en plattform. SAST med AI-autofix, SCA med reachability och automatiska pull requests med uppgraderingar, upptäckt av hemligheter med automatisk återkallelse, skanning av IaC och containeravbilder samt, på Enterprise, DAST, API-säkerhet och ASPM med inhämtning av tredjepartsdata.
• Skadlig kod i öppen källkod. Xygeni säger att det analyserar tusentals nya och uppdaterade paket med öppen källkod varje dag, använder en ML-stödd motor för att upptäcka okänd skadlig kod, sätter misstänkta paket i karantän och kan blockera dem med en beroendebrandvägg. Det går längre än att matcha CVE:er.
• CI/CD-säkerhet. Det letar efter felkonfigurationer i byggskript och pipelines, tar sig an OWASP Top 10 CI/CD-risker, kontrollerar inställningar som grenskydd och flerfaktorsautentisering och flaggar skadliga kommandon i pipelines, till exempel reverse shells och nedladdningar av skadlig kod.
• Byggattesteringar. Build Security lägger till en rad i en pipeline för att samla bevis från varje steg i bygget och generera SLSA-proveniens och in-toto-attesteringar, signerade med nyckellösa signaturer. Attesteringar kan innehålla sårbarhetsskanningar, SBOM:er i SPDX eller CycloneDX och testresultat, och manipulerade artefakter kan blockeras före leverans.
• Avvikelsedetektering. Sensorer för GitHub, GitLab, Jenkins och Azure håller utkik efter obehöriga ändringar i kod, beroenden, pipelines och byggkonfiguration och varnar i realtid.
• Bred CI-täckning och publicerade priser. Xygeni listar integrationer med GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI och Travis CI, och erbjuder driftsättning on-premises på Enterprise.

Där CRACI skiljer sig

Registreras från bygget, läses inte från deskriptorer

Xygenis dokumentation säger att dess analysatorer bearbetar beroendedeskriptorer för att extrahera direkta och indirekta beroenden och lösa deras versioner. Det är standardsättet att bygga en SBOM från ett repo. CRACI ser i stället trafiken som kommer in i varje bygge: en paketmedveten proxy registrerar varje paket som jobbet hämtade från npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Paket som återställs från CI-cachar stannar i registreringen.

Det är så CRACI registrerar de dolda beroenden som lockfile-baserade verktyg missar: kod som laddas ner av npm-installationshooks, Rust-byggskript som hämtar under bygget och lagren i basavbilden i ett containerbygge. Varje SBOM har en fullständighetsstatus per jobb och per cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded), så när registreringen har en lucka säger den det.

Kontroll medan bygget körs

Xygenis CI/CD-kontroller tittar på hur pipelines är konfigurerade och vilka kommandon de innehåller. CRACI begränsar vad bygget kan nå. Egress-policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor, typade anpassade källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git, och explicita regler för TLS, TCP, UDP och ICMP. De valideras innan jobbet startar och blockerar vid fel. Eftersom en policy som nekar som standard bara tillåter det bygget behöver blockeras ett komprometterat paket som försöker skicka dina hemligheter till en okänd värd, även vid en attack som ingen har sett tidigare, och CRACI varnar dig om överträdelsen.

Proveniens och bevakning från en registrering

Xygeni signerar attesteringar från ett steg som läggs till i pipelinen du kör. CRACI:s registrering kommer från runnern som jobbet kördes på: API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå. CRACI fortsätter att omvärdera SBOM:erna för det du har levererat när nya sårbarheter publiceras, och visar varje tidigare bygge som innehöll ett sårbart beroende, så att du vet hur länge du var exponerad.

Runnern är en del av produkten

Eftersom CRACI är runnern kommer bevisen med beräkningskraft: körningar syns fortfarande i GitHub, och CRACI kör byggen ungefär dubbelt så snabbt som GitHub-hostade runners, tack vare snabbare hårdvara, kortare kötider och cachning. CRACI tar bara betalt för byggminuter, $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift och utan avgift per SBOM. Se CRACI:s priser.

Vilken som passar

Xygeni passar bättre när

• Du vill ha en AppSec-plattform för SAST, SCA, hemligheter, IaC, containrar och pipelinekonfiguration.
• Du vill att skadliga paket med öppen källkod upptäcks och blockeras innan ett säkerhetsmeddelande finns.
• Du bygger på GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI eller Travis CI.
• Du behöver SLSA- och in-toto-attesteringar, eller driftsättning on-premises.
• Ett litet team vill börja med en gratisplan och publicerade priser.

CRACI passar bättre när

• Du bygger på GitHub Actions och vill ha runnern, egress-policyn och registreringen av beroenden på ett ställe.
• Du behöver en SBOM över vad varje bygge faktiskt hämtade, med en fullständighetsstatus du kan visa en revisor.
• Du vill ha bevakning av det som levererats och bygghistorik från samma registrering.

Vad du avstår från när du flyttar byggbevisen till CRACI

För programvaran du bygger på GitHub Actions tar CRACI över jobbet som Xygenis SBOM-export gör: registreringen, proveniensdata och bevakningen kommer från runnern. För att säga rakt ut vad det kostar: CRACI har ingen reachability-analys, upptäcker inte nya skadliga paket utifrån beteende eller rykte (det flaggar kända skadliga releaser när ett säkerhetsmeddelande med en CVE har publicerats), öppnar inga pull requests med uppgraderingar, signerar ingen proveniens, gör inte anspråk på någon SLSA-nivå, har ingen avvikelsedetektering över versionshantering och kör i dag bara GitHub Actions, med GitLab CI och Jenkins på roadmapen.

Xygenis SAST, hemligheter, IaC och posture-kontroller för CI/CD täcker områden som CRACI medvetet inte berör, så de kan stanna där de är. CRACI ersätter runnern, inte GitHub Actions, så ett skanningssteg körs på en CRACI-runner som vilket annat steg som helst.

För Cyber Resilience Act

Cyber Resilience Act är ett av flera ramverk som kräver en SBOM och en process för sårbarhetshantering. Xygeni listar kontroller av efterlevnad i programvarans leveranskedja mot CIS och OpenSSF på sin Business-plan. CRACI automatiserar en betydande del av den insyn i och de bevis om leveranskedjan som en CRA-process behöver: SBOM:er från bygget som exporteras som CycloneDX eller SPDX, sårbarhetsspårning och proveniens via API:t. Se CRA-bevis. Inget av verktygen gör en produkt regelefterlevande på egen hand.

För andra plattformar inom området, se CRACI vs Cycode, CRACI vs OX Security, CRACI vs Wiz och verktyg för säkerhet i programvarans leveranskedja.

Frågor om Xygeni, besvarade

Vad är Xygeni?

Xygeni är en plattform för applikationssäkerhet från Valladolid i Spanien. Den kombinerar egna skannrar (SAST, SCA med reachability och upptäckt av skadlig kod, hemligheter, IaC, containrar, CI/CD-säkerhet och som tillval DAST och API-säkerhet) med ett ASPM-lager, plus byggsäkerhet med SLSA- och in-toto-attesteringar och avvikelsedetektering över versionshantering och CI-system.

Vad kostar Xygeni?

Per september 2026 visar Xygenis prissida en gratisplan med SAST, SCA, hemligheter och ett IDE-tillägg för upp till 10 repon, 200 skanningar per månad och 5 bidragsgivare. Team börjar på omkring $3,828 (€3,300) per år och Business på omkring $6,844 (€5,900) per år, båda med 10 bidragsgivare, och Enterprise prissätts via offert. En bidragsgivare är den som har gjort en commit till ett skannat repo under de senaste 90 dagarna. Build Security och Anomalies Detection är Enterprise-tillval.

Tillhandahåller Xygeni CI-runners?

Nej. Xygeni integreras med CI-systemen du kör, till exempel GitHub, GitLab, Jenkins, Azure Pipelines, Bitbucket, CircleCI och Travis CI, och lägger till sina skannrar och sitt attesteringssteg i dina pipelines. CRACI är runnern: GitHub Actions-jobb körs på CRACI, som registrerar vad varje jobb hämtade och styr vad det kan nå.

Vad är skillnaden mellan Xygeni och CRACI?

Xygeni är en bred AppSec-plattform som skannar kod, beroenden, hemligheter, IaC och pipelinekonfiguration över många CI-system. CRACI är en GitHub Actions-runner som registrerar paketen som varje bygge faktiskt hämtade, upprätthåller en egress-policy medan det körs och fortsätter att bevaka det som levererats. Xygeni är mycket bredare; CRACI registrerar själva bygget.

Kan CRACI ersätta Xygeni?

För byggbevis för programvara du bygger på GitHub Actions, ja: CRACI:s registrerade SBOM, proveniens och sårbarhetsbevakning täcker det jobbet. CRACI ersätter inte Xygenis SAST, hemligheter, IaC, posture-kontroller för CI/CD, upptäckt av skadlig kod eller reachability-analys, och det kör i dag bara GitHub Actions, med GitLab CI och Jenkins på roadmapen.