替代方案
StepSecurity 替代方案
StepSecurity Harden-Runner 為您自行保留的執行器加上對外連線控制與執行期可視性。當團隊需要每次建置的套件層級紀錄，或希望控制內建於執行器本身時，便會評估替代方案。
更新日期
CRACI 是我們打造的產品，請將這點納入考量；我們依據各方案自己的文件描述每個選項，並在其他工具更合適時明確說明。
團隊為何考慮 StepSecurity 以外的選擇
Harden-Runner 是一個以作業第一個步驟加入的代理程式。它將對外連線、程序與檔案寫入對應到每個工作流程步驟，在稽核模式下建立基準，並封鎖對允許清單以外目的地的對外連線。它完整支援 GitHub 託管的 Linux 執行器，在 Windows 與 macOS 上則以稽核模式執行。
當情況改變時，團隊會尋找其他選擇：
- 佐證資料。它記錄的是連線目的地，而不是套件層級的 SBOM。
- 設定。代理程式是您需要加入每個工作流程的一個步驟。
- 價格。截至 2026 年 9 月，Community 方案對公開儲存庫免費，Enterprise 為每位貢獻開發者每月 $16。
評估重點
- 工具是執行器上的代理程式，還是執行器本身。
- 對外連線控制，以及能否在封鎖前先觀察。
- 如有需要，是否提供程序與檔案監控。
- 建置佐證資料：每個作業所擷取內容的套件層級 SBOM。
- 涵蓋哪些執行器與 CI 系統。
可選方案
1. CRACI（我們的產品）
CRACI 本身就是執行器，而不是安裝在您執行器上的代理程式。對外連線政策可設為預設拒絕或預設允許，在作業開始前驗證，並採失效即封鎖。在作業執行時，具套件感知能力的代理伺服器會記錄它取得的內容，並產生附完整度狀態的 SBOM。API 會傳回 SBOM、網路追蹤與來源證明。
最適合： 希望在同一處管控並記錄建置的團隊。
適合考慮的情況： 您可以將作業移到 CRACI 的 GitHub Actions Linux 執行器。CRACI 不監控程序或檔案寫入，封鎖前的稽核模式已列入產品藍圖。
2. Cycode Cimon
Cimon 來自 Cycode，是在您 CI 作業內執行的 eBPF 代理程式。它監控程序、網路對外連線與檔案存取，在強制執行前先學習管線的正常行為，產生執行期觀察到的 SBOM，並為 SLSA 來源證明簽章。Cycode 表示 Cimon 免費且開源，它屬於 Cycode 更廣泛的應用程式安全平台。
最適合： 在您保留的執行器上、橫跨多種 CI 系統的建置執行期防護。
3. Namespace
Namespace 在自行營運的硬體上執行 Linux、Windows 與 macOS 執行器，透過執行器設定檔選擇。快取磁碟區會將資料保留在本機儲存空間中，跨次執行使用。其對外連線政策可採封鎖模式或建議模式；建議模式只記錄決策而不封鎖，讓您能根據實際流量建立允許清單。截至 2026 年 9 月，2 vCPU、4 GB 的 Linux 執行器在方案內每分鐘 $0.002，超量為 $0.003。
最適合： 由單一廠商提供 Linux、Windows 與 macOS 執行器，並具備快取磁碟區。
適合考慮的情況： 您希望在強制執行前先試行對外連線政策。
4. Depot
Depot 提供 2 到 64 vCPU 的 Linux 執行器，每個方案也都有 Windows 與 macOS，並連接分散式快取。它形容自己的執行器「速度最高可達 GitHub 託管執行器的 3 倍」。其遠端 Docker 建置服務會保留持久的 layer 快取，Linux 執行器支援對外連線過濾，在 Business 方案上執行器也可以放在您自己的 AWS 帳戶中。截至 2026 年 9 月，超出方案分鐘數後 2 vCPU 每分鐘 $0.006，按秒計算。
最適合： CI 時間主要花在 Docker 映像檔建置上的團隊。
適合考慮的情況： 您也希望為 Bazel、Gradle 或 Turborepo 使用遠端建置快取。
5. 搭配 Actions Runner Controller 的自架執行器
Actions Runner Controller（ARC）是「為 GitHub Actions 調度並擴展自架執行器的 Kubernetes operator」。執行器擴展集會隨執行中的工作流程數量增減，執行器也可以是臨時容器。截至 2026 年 9 月，GitHub 不對自架用量按分鐘收費，但您需負責作業系統與軟體，而且 GitHub 警告，自架執行器幾乎不應用於公開儲存庫。
最適合： 必須在您的網路或硬體上執行的作業。
適合考慮的情況： 您已在執行 Kubernetes，並有時間強化與維護它。
並列比較
| 功能 | CRACI | StepSecurity Harden-Runner | Cycode (Cimon) | GitHub Advanced Security |
|---|---|---|---|---|
| 執行位置 | 本身就是執行器 | 安裝在您自行維護之執行器上的代理程式 | 安裝在您現有 CI 內的代理程式 | 掃描 GitHub 上的儲存庫 |
| 建置對外連線控制 | 預設拒絕或允許，失效即封鎖 | 封鎖模式下的允許清單 | 可指定允許主機的防止模式 | |
| 封鎖前的稽核模式 | 監控模式或試運行模式 | 每個作業的基準 | 偵測模式 | 無對外連線控制 |
| 程序與檔案監控 | eBPF | 未說明 | ||
| 從建置記錄的 SBOM | 每個作業一份，附完整性狀態 | 記錄連線目的地、程序與檔案 | 執行階段觀察到的 SBOM | 由 manifest 產生的關係圖，加上提交的建置資料 |
| 已簽署的建置來源證明 | 無已簽署的來源證明 | 未說明 | SLSA Provenance v1.0 | 建置產物證明（Artifact attestations） |
| SAST | 未說明 | CodeQL | ||
| 機密掃描 | 未說明 | Secret Protection | ||
| 支援的 CI | 目前支援 GitHub Actions；GitLab CI 與 Jenkins 已列入產品藍圖 | GitHub Actions、GitLab CI、Azure DevOps | GitHub Actions、Azure Pipelines、Jenkins、GitLab CI、Buildkite、Harness | GitHub，以及另行購買的 Azure DevOps |
| 價格 | 每 vCPU 分鐘 $0.002（2 vCPU 為 $0.004），含執行器 | 公開儲存庫免費；Enterprise 每位貢獻開發者每月 $16 | 依 Cycode 所述，免費且開源 | 每位活躍 committer 每月：Secret Protection $19，Code Security $30 |
- 支援
- 部分支援
- 不支援
- 已列入產品藍圖
「未說明」表示我們無法在該廠商的公開頁面中確認。
何時應繼續使用 StepSecurity
- 您想繼續使用 GitHub 託管執行器，包括 Windows 與 macOS。
- 您想先在稽核模式下觀察流量，再進行封鎖。
- 您需要程序與檔案監控，而不只是網路控制。
- 您同時也使用 GitLab CI 或 Azure DevOps。
StepSecurity 替代方案常見問題
團隊比較方案時常問問題的簡短解答
Harden-Runner 有免費的替代方案嗎？
依 Cycode 所述，Cimon 免費且開源。它是一個 eBPF 代理程式，會監控 CI 作業內的程序、對外連線與檔案存取。Harden-Runner 本身在 GitHub 託管執行器上的公開儲存庫也免費，其社群版代理程式以 Apache 2.0 授權開源。CRACI 沒有免費方案。
在 Azure DevOps 上，什麼可以取代 StepSecurity？
不是 CRACI：CRACI 目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。Cycode 將 Azure Pipelines 列為 Cimon 涵蓋的 CI 系統之一，Harden-Runner 本身也支援 Azure DevOps。
CRACI 需要代理程式嗎？
不需要。CRACI 本身就是執行器，因此不必在工作流程中加入代理程式，也沒有控制器需要維運。您只要設定 runs-on: craci，對外連線（egress）政策就會在作業開始前驗證，並失效即封鎖（fail closed）。
StepSecurity 的價格是多少？
截至 2026 年 9 月，Community 方案在 GitHub 託管執行器上的公開儲存庫免費，Enterprise 為每位貢獻開發者每月 $16，並提供 14 天免費試用。執行器分鐘數另外計費。CRACI 只針對執行器本身收費：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計量，沒有月費，也不按 SBOM 收費。
CRACI 能在封鎖前先稽核對外連線嗎？
目前還不行。監控模式或試運行（dry-run）模式已列入 CRACI 的產品藍圖。Harden-Runner 會在稽核模式下建立基準，Cimon 則會在強制執行前學習管線的正常行為。