124% fler rapporterade CVE:er per dag 2026 än förra året.

Plattform

Så fungerar CRACI

CRACI kör dina GitHub Actions-byggen och registrerar vad vart och ett drar in. Allt annat, från sårbarhetsuppföljning till underlag för CRA, bygger på den registreringen.

Uppdaterad

Översikt över CRACI-plattformen. Källkod på GitHub flödar genom GitHub Actions in i CRACI Secure Build Service. Bygget matar CRACI Package Analytics, därefter Vulnerability Analysis (som även tar emot underlag från tredjepartsleverantörer), Digital Inventory och Compliance Reporting, som rapporterar till tredje parter som kunder, leverantörer och ENISA. Bygget matar också CRACI Attack Prevention. Attack Prevention och Digital Inventory leder båda vidare till driftsättning i staging och produktion.
CRACI-plattformen, från vänster till höger. Öppna diagrammet i full storlek.

Kort sagt

De flesta säkerhetsverktyg tittar på din kod eller dina manifest i efterhand och drar slutsatser om vad ett bygge troligen innehöll. CRACI är byggrunnern, så den ser vad bygget faktiskt hämtade, i samma ögonblick som det hämtades. Den registreringen är indata till allt i diagrammet: paketanalys, attackskydd, sårbarhetsanalys, spårbarhet och efterlevnadsrapportering.

Du behåller GitHub och GitHub Actions. Ändringen är en rad i varje arbetsflöde:

Switching a GitHub Actions job to CRACI A workflow file with a build job. The line runs-on: ubuntu-latest changes to runs-on: craci. That is the only change, and the job's runs still show up in GitHub. .github/workflows/build.yml jobs: build: runs-on: ubuntu-latest ubuntu-lates ubuntu-late ubuntu-lat ubuntu-la ubuntu-l ubuntu- ubuntu ubunt ubun ubu ub u c cr cra crac craci ✓ One line per job. Runs still show up in GitHub.

Steg för steg

1. Källkod och CI/CD: GitHub och GitHub Actions

Din kod stannar på GitHub. Du ansluter din organisation genom att installera CRACI:s GitHub App, på alla repon eller bara på dem du väljer. Arbetsflödena körs fortfarande från GitHub Actions och körningarna syns fortfarande i GitHub. GitHub Actions är den CI-integration som stöds i dag; stöd för andra CI/CD-system finns på roadmapen.

2. Bygge: CRACI Secure Build Service

Jobben körs på CRACI-runners i isolerade virtuella maskiner. Runners skalar från 1 till 32 beräkningsenheter (1 vCPU och 3 GB RAM vardera), på native x86-64 och ARM64, med en GitHub-kompatibel Ubuntu-avbild eller CRACI:s slimmade avbilder. Användningen mäts per sekund.

Byggen på CRACI går ungefär dubbelt så snabbt som på GitHubs vanliga hostade runners. Varje minut kostar dessutom mindre: en vanlig Linux-runner med 2 vCPU kostar $0.004 per minut, mot GitHubs $0.006 (omkring 33 % mindre). Sammantaget blir ett bygge som tar 10 minuter på GitHub klart på ungefär 5 på CRACI och kostar omkring 67 % mindre. CRACI debiterar dessutom per sekund i stället för att avrunda varje jobb uppåt till en hel minut, så pipelines med många korta jobb sparar mer. Se hela jämförelsen med GitHub-hostade runners.

One 10-minute build, GitHub-hosted runner versus CRACI On a GitHub-hosted 2-core Linux runner, a 10-minute build at $0.006 per minute costs $0.060, and each job is rounded up to a whole minute. On CRACI, the same build takes about 5 minutes at $0.004 per minute and costs $0.020, billed per second. That is about 67 percent less. GitHub-hosted runner standard 2-core Linux x64 build time 10 min per minute $0.006 cost of the build $0.060 CRACI size 2, Linux x64 build time about 5 min per minute $0.004 cost of the build $0.020 About 2x faster and about 67% less per build Billed per second; GitHub rounds jobs up to a minute.

3. Kartläggning av leveranskedjan: CRACI Package Analytics

Medan jobbet körs bevakar en paketmedveten proxy trafiken till paketkällorna och registrerar varje externt beroende som bygget drar in, från npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar för Yocto och OpenEmbedded. Bevisen följer med CI-cachar, så paket som återställs från en cache räknas ändå med.

Det är här skillnaden mot andra SBOM-verktyg ligger. De läser lockfilen eller byggresultatet och räknar ut vad som ingick. CRACI ser trafiken, så den registrerar också de dolda beroenden som ingen lockfile listar: kod som installationshookar i npm laddar ner, filer som byggskript i Rust hämtar under bygget och baslagren i en containeravbild.

How a scanned SBOM and a recorded SBOM are made Left, a scanner: it reads the lockfile after the build, which lists packages A to E, so its SBOM contains A to E. The build also fetched code through an install hook, a build script download and a base image, which are in no lockfile, so the scanned SBOM is missing them. Right, CRACI: it sees the traffic coming into the build, so all eight packages, including the three hidden dependencies, land in the recorded SBOM. Scanner reads files after the build package-lock.json A B C D E the build also fetched install hook download build script download base image layers in no lockfile, so the scan never sees them Scanned SBOM A B C D E missing missing missing CRACI sees the traffic into the build the network build job on CRACI every package that comes in Recorded SBOM A B C D E install hook build script base image hidden ones too
A scanner can only list what the lockfile or the output declares. CRACI sees what actually came into the build, including the hidden dependencies.

Varje jobb och cache får en fullständighetsstatus, från Complete till Not recorded, så du vet hur mycket du kan lita på SBOM:en som togs fram. SBOM:er exporteras i CycloneDX eller SPDX, transitiva beroenden inräknade.

4. Löpande säkerhet i leveranskedjan: CRACI Attack Prevention

Samma lager som registrerar trafiken styr den också. En egress-policy avgör vilka värdar ett jobb får nå, med neka som standard eller tillåt som standard, inbyggda förinställningar för vanliga programvarukällor och anpassade regler för dina egna. Policyerna valideras innan jobbet startar och blockerar vid fel, och CRACI larmar dig vid överträdelser. Ett komprometterat beroende eller byggverktyg som försöker ringa hem stoppas vid runnern.

Eftersom policyn bara tillåter det bygget behöver, i stället för att leta efter kända skadliga värdar, fungerar den mot attacker som ingen har sett förut. Om en mask som Shai-Hulud når ditt bygge först blockeras ändå dess försök att skicka ut dina hemligheter.

What happens when malware in a build tries to send your secrets out Left, a runner that allows all outbound traffic: the build reaches its package registry and publishes its output, then a malicious install hook sends the build's secrets to an attacker's server, and they arrive. Right, CRACI with a default-deny egress policy: the registry and publish connections are allowed, the connection to the attacker's server is blocked at the policy, and an alert is sent. The policy allows only what the build needs, so it works even against an attack nobody has seen before. Any outbound allowed build job holds your tokens and keys malicious install hook runs no egress policy package registry publish output attacker server allowed allowed secrets sent to the attacker CRACI default-deny egress policy build job on CRACI holds your tokens and keys malicious install hook runs egress policy: only what the build needs package registry publish output attacker server allowed allowed blocked blocked, and you get an alert
The policy allows only what the build needs, instead of looking for known-bad hosts, so it stops a new attack the first time it runs.

5. Löpande respons i leveranskedjan: CRACI Vulnerability Analysis

Registrerade paket matchas mot kända sårbarheter, och bevakade SBOM:er omvärderas löpande, så en sårbarhet som publiceras efter att du levererat når dig ändå. Vyer på organisationsnivå visar vilka byggen och repon som delar ett sårbart beroende, och säkerhetsteam kan triagera varje fynd och skicka det till teamet som äger åtgärden. Du kan också lägga till SBOM:er från dina tredjepartsleverantörer, så att komponenterna du köper in bevakas tillsammans med dem som dina egna byggen drar in.

Using SBOMs for improved cybersecurity

Hur en SBOM från bygget blir sårbarhetsövervakning efter release, vilket är just det CRACI:s SBOM-generering och sårbarhetsspårning gör.

Petteri Pulkkinen och Erika Marttinen på Kubernetes Community Days Helsinki 2026, 22:11 till 23:27 av SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

6. Spårning i leveranskedjan: CRACI Digital Inventory

Varje bygge har sin SBOM och nätverksspårningen av vad det anslöt till, och CRACI:s API returnerar SBOM:er, nätverksspårningar och proveniens. När en ny sårbarhet eller ett komprometterat paket hamnar i nyheterna kan du från ett och samma ställe svara på vilka av dina byggen som drabbas.

A new vulnerability, traced back through build history Eight releases, v1.0 to v1.7, are built and recorded over time. Today a new advisory is published for example-lib 2.3.1. CRACI's build history shows that v1.2 and v1.3 contained it as a transitive dependency and v1.4 and v1.5 as a direct one, while v1.6 and v1.7 already shipped a fixed version. The exposure period is v1.2 to v1.5, answered from the recorded SBOMs without rescanning old code. Build history every build keeps its recorded SBOM New advisory today example-lib 2.3.1 today v1.0 v1.1 v1.2 v1.3 v1.4 v1.5 v1.6 v1.7 v1.2 transitive v1.3 transitive v1.4 direct v1.5 direct fixedfixed exposure period: v1.2 to v1.5 Answered from the recorded SBOMs, without rescanning old code
CRACI keeps re-evaluating the SBOMs of what you shipped. Build history follows your retention, 180 days by default.

7. Rapportering i leveranskedjan: CRACI Compliance Reporting

Underlaget som samlas in längs vägen går till dem som efterfrågar det: kunder, leverantörer och myndigheter. SBOM:er exporteras i CycloneDX eller SPDX, inklusive sårbarheterna som hittats i deras komponenter, API:t returnerar SBOM:er, nätverksspårningar och proveniens, och CRACI skickar in sårbarhetsanmälningar enligt CRA för din räkning.

Cyber Resilience Act är den mest kända regeln bakom detta, men inte den enda. I alla ramverk är kravet detsamma: vet vad som finns i din programvara och ha en process för att hitta och hantera dess sårbarheter.

  • EU:s Cyber Resilience Act: en SBOM och sårbarhetshantering för produkter med digitala element som säljs i EU, med rapporteringsskyldigheter från september 2026.
  • NIS2: säkerhet i leveranskedjan samt hantering och offentliggörande av sårbarheter för väsentliga och viktiga entiteter.
  • ISO/IEC 27001: nämner inte SBOM:er, men dess Annex A-kontroller kräver en förteckning över tillgångar (5.9), säkerhet i IKT-leveranskedjan (5.21) och hantering av tekniska sårbarheter (8.8). SBOM:er från bygget och löpande bevakning är underlag för alla tre.
  • Amerikanska FDA: en SBOM i ansökningar före marknadsintroduktion för uppkopplade medicintekniska produkter, plus en plan för att bevaka och åtgärda sårbarheter efter release.
  • US Executive Order 14028: SBOM:er för varje produkt och en process för att rapportera sårbarheter, i vägledningen om mjukvarans leveranskedja för leverantörer som säljer till den federala regeringen.

CRACI ger dig de SBOM:er och den löpande sårbarhetsbevakning som dessa ramverk förväntar sig, och underlaget bakom dina påståenden om efterlevnad. Att uppfylla varje ramverk är fortfarande din process; CRACI gör underlaget i den automatiskt.

8. Driftsättning: staging och produktion

Det som når staging och produktion har byggts under din nätverkspolicy, med en SBOM som registrerades under bygget och bevakas för nya sårbarheter efter release.

Fördjupa dig

Se CRACI i din egen pipeline

Boka en demo så går vi igenom dina byggen, dina SBOM:er och ditt underlag för efterlevnad.

Boka en demo