比較
CRACI vs Anchore
Anchore Enterprise 掃描映像檔、檔案系統與 SBOM，再將政策套用到您的整個產品組合。CRACI 則在您的 GitHub Actions 建置執行時記錄 SBOM，並標示其完整程度。
更新日期
簡短的答案
Anchore Enterprise 是用於持續資安與法規遵循的 SBOM 平台。它以 Anchore 的開源 Syft 與 Grype 為基礎，掃描容器映像檔、檔案系統與匯入的 SBOM，並強制執行 FedRAMP 與 NIST 等標準的政策套件。CRACI 是 GitHub Actions 執行器，會記錄每個作業實際下載的相依套件，並從這份記錄產生帶有完整度狀態的 SBOM。
兩者的差異在於元件清單的來源：是掃描現有的內容，還是記錄建置實際做了什麼。CRACI 也會監控這份記錄中的新漏洞，因此 CI、SBOM 與漏洞追蹤都來自同一個產品，而不是執行器加上掃描平台。
一覽比較
| 功能 | CRACI | Anchore Enterprise |
|---|---|---|
| 從觀察到的建置流量產生 SBOM | CRACI 執行器上能辨識套件的 proxy | 掃描映像檔、檔案系統與原始碼 |
| 依作業與快取標示完整度 | 五種狀態，跨快取延續 | |
| 執行器上的對外連線政策 | 預設拒絕或允許，失效即封鎖 | 不執行您的建置 |
| 執行您的 CI 作業 | 作業在 CRACI 執行器上執行 | 接入您現有的 CI |
| 持續監控已儲存的 SBOM | 重新評估受監控的 SBOM | 不需原始建置產物即可重新掃描 SBOM |
| CRA 佐證資料與報告 | CycloneDX 或 SPDX 格式的 SBOM，可透過 API 取得記錄，並備妥 CRA 通報內容；不提供報告匯出 | VEX、稽核軌跡與法規遵循儀表板 |
| 可封鎖建置的政策關卡 | 政策關卡會封鎖建置 | FedRAMP、NIST 等政策套件 |
| CI 系統 | 目前支援 GitHub Actions；GitLab CI 與 Jenkins 已列入產品藍圖 | GitHub、GitLab、Jenkins、Azure、CodeBuild |
| 自架與實體隔離環境 | 目前為代管；客戶自行託管的執行器已列入產品藍圖（Enterprise） | Kubernetes、Docker Compose、實體隔離環境 |
| 匯入供應商 SBOM | 可加入廠商 SBOM | CycloneDX、SPDX 與 Syft JSON |
| 價格 | 每 vCPU 分鐘 $0.002（2 vCPU 為 $0.004），按秒計量；沒有月費 | 依需求報價（截至 2026 年 9 月） |
- 支援
- 部分支援
- 不支援
- 已列入產品藍圖
Anchore 的強項
先從開源工具說起，因為它們與商業產品是分開的。Syft 是一套 CLI 與 Go 函式庫，以 Apache 2.0 授權發布，可從容器映像檔與檔案系統產生 SBOM。Grype 是適用於映像檔與檔案系統的開源漏洞掃描工具。許多團隊已經免費使用其中之一或兩者。
Anchore Enterprise「以開源的 Syft 與 Grype 為基礎」，並在其周圍加上大型組織所需的功能：
- 廣泛的涵蓋範圍。容器、原始碼與檔案系統的 SBOM，以及在平台外建立的 SBOM。上傳的 SBOM 在分析前會先驗證結構描述是否正確。第 6 版新增了虛擬機器與遠端檔案系統。
- 持續掃描。已儲存的 SBOM 無需原始建置產物即可重新掃描漏洞，平台也會偵測機密與惡意軟體。
- 政策即程式碼。政策關卡搭配預建的政策套件，包括 FedRAMP、NIST、CIS、PCI DSS 與 CMMC。
- 您自己的基礎架構。在 EKS、AKS、GKE 或 OpenShift 上使用 Helm、Docker Compose、雲端映像檔，以及實體隔離安裝。
- 多種 CI 系統。文件列出 GitHub、GitLab、Jenkins、AWS CodeBuild 與 Azure Pipelines 的整合。
如果您在多個 CI 系統上運作容器機群，或在政府或實體隔離環境中工作，這些都是實實在在的優勢，CRACI 目前無法與之匹敵。
CRACI 的不同之處
記錄建置，而非掃描結果
在 Anchore 的 GitHub Actions 整合中，anchorectl 會在您的執行器上建立 SBOM，或由 Anchore 的分析器在伺服器上建立。無論哪種方式，SBOM 描述的都是掃描工具在映像檔或目錄中找到的內容。掃描完成的映像檔是良好的做法，它能看見最終進入建置產物的內容，卻看不見作業在過程中下載後又留下的東西，例如建置外掛程式、測試工具，以及從快取還原的套件。
CRACI 負責執行作業。您將 runs-on 改為 craci，能辨識套件的 proxy 就會在建置期間記錄連往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設集。相依套件的佐證資料會隨 CI 快取一起延續，因此還原的套件也會留在記錄中。
為什麼方法很重要
掃描工具只能回報眼前檔案所宣告的內容，而回報結果取決於其設定。Syft 會依掃描類型選擇 cataloger，因此同一個工具的同一個版本，對同一份 checkout 可能因為一個旗標而回傳截然不同的清單。沒有提交 lockfile 的儲存庫（例如 express 5.2.1 就沒有），會讓讀取 lockfile 的工具無從解析。這是關於掃描這種方法本身，而不是 Syft 的品質。CRACI 無法用這種方式比較，因為它記錄的是建置，無法掃描目錄。
每份 SBOM 都有完整度狀態
每份 CRACI SBOM 都會依作業與快取標示完整度狀態：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。這個狀態會跨快取遞移延續。您能知道每份 SBOM 是完整的記錄，還是存在缺口。
從源頭控制並提供來源證明
由於作業由 CRACI 執行，它可以強制執行網路對外連線（egress）政策：預設拒絕或預設允許、24 個內建的軟體來源預設集，以及具型別的自訂來源。政策會在作業開始前驗證，並採失效即封鎖（fail closed）。API 會回傳 SBOM、網路追蹤與來源證明（provenance）。
監控
CRACI 會持續重新評估受監控的 SBOM，並跨建置與儲存庫彙整漏洞。資安團隊可以研判發現結果，並將其送交給正確的團隊。政策關卡會依發現結果封鎖建置。
部署位置的資產清冊
CRACI 的資產清冊檢視會在全域層級精確顯示哪些軟體版本部署在哪些產品上。當新漏洞出現時，您可以直接看到哪些產品執行受影響的版本，而不必從版本說明與試算表中拼湊答案。
以 CRACI 取代 Anchore
對使用 GitHub Actions 的團隊來說，CRACI 涵蓋了 Anchore Enterprise 在 SBOM 方面所做的工作：在建置中產生 SBOM，在新漏洞公布時持續重新評估受監控的 SBOM，跨建置與儲存庫彙整發現結果，並讓資安團隊研判這些結果、將每一項分派給負責修正的團隊。不需要營運掃描平台，也不需要維護上傳步驟。
請清楚了解您會放棄什麼。Anchore Enterprise 可掃描容器映像檔與檔案系統（包括非自行建置的），並偵測機密與惡意軟體。它針對 FedRAMP、NIST 等標準的政策套件，CRACI 目前沒有對應的功能，不過 CRACI 自己的政策關卡可以封鎖建置並強制執行授權政策。它也支援自架部署，包括實體隔離網路，並能與 GitLab、Jenkins 及其他 CI 系統整合。如果這些比每個版本由哪些內容建置而成的記錄更重要，Anchore 會是更合適的選擇。
針對 Cyber Resilience Act（CRA）
Anchore 發布了 CRA 相關資料，包括一個 EU CRA 頁面與一份 SBOM 要求指南。它將 Anchore Enterprise 定位為提供 SBOM 管理、依 CISA KEV 等來源進行漏洞監控、支援 24 小時早期預警與 72 小時通報期限、政策關卡、VEX 註記與稽核軌跡的方案。
CRA 的通報義務自 2026 年 9 月 11 日起適用：在得知遭積極利用的漏洞後 24 小時內，透過 CRA Single Reporting Platform 發出早期預警。其主要條款自 2027 年 12 月 11 日起適用。要在 24 小時內通報，就必須知道哪些版本包含受影響的元件。CRACI 的 API 會回傳 SBOM、網路追蹤與來源證明，SBOM 也可匯出為 CycloneDX 或 SPDX，並包含漏洞資訊。
CRACI 將企業在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料自動化。兩種產品都無法單獨讓製造商符合法規。請參閱CRA 的要求與透過 CRACI 達成 CRA 法規遵循。
CRACI 目前支援 GitHub Actions。GitLab CI、Jenkins 與其他 CI 系統已列入產品藍圖。進一步了解建置時 SBOM 產生或CRACI 文件。
CRACI 與 Anchore：常見問題
Syft 與 Grype、自架部署、CI 支援與價格
CRACI 是 Anchore 的替代方案嗎？
對使用 GitHub Actions 的團隊來說，是的。CRACI 在建置中產生 SBOM，在新漏洞公布時持續重新評估受監控的 SBOM，並讓資安團隊研判發現結果、分派給負責修正的團隊，完全不需要另外營運掃描平台。如果您需要掃描非自行建置的映像檔、自架部署，或在多個 CI 系統上執行，Anchore 會是更合適的選擇。
CRACI 與 Syft、Grype 有何不同？
Syft 與 Grype 是 Anchore 免費的開源工具：Syft 從容器映像檔與檔案系統產生 SBOM，Grype 則掃描其中的漏洞。兩者讀取的都是眼前檔案中存在的內容。CRACI 執行建置，並記錄作業實際下載的套件，包括從 CI 快取還原的套件，因此對於您自行建置的軟體，CRACI 可以同時取代這兩者。
Anchore Enterprise 能做到哪些 CRACI 做不到的事？
Anchore Enterprise 可掃描容器映像檔與檔案系統（包括非自行建置的），並偵測機密與惡意軟體。它提供 FedRAMP、NIST、CIS、PCI DSS 與 CMMC 的政策套件，CRACI 目前沒有對應的功能，不過 CRACI 自己的政策關卡可依發現結果封鎖建置。它也支援自架部署，包括實體隔離網路。
CRACI 可以自架或在實體隔離環境中執行嗎？
目前不行。CRACI 提供在歐洲基礎架構上的代管執行器，客戶自行託管的執行器已列入 Enterprise 的產品藍圖。Anchore Enterprise 可透過 Helm 安裝在 Kubernetes 上，也可使用 Docker Compose 或安裝在實體隔離網路中。
Anchore 與 CRACI 支援哪些 CI 系統？
Anchore 的文件列出 GitHub、GitLab、Jenkins、AWS CodeBuild 與 Azure Pipelines 的整合。CRACI 目前是 GitHub Actions 的執行器；其他 CI 系統（包括 GitLab CI 與 Jenkins）已列入產品藍圖。
價格如何比較？
截至 2026 年 9 月，Anchore Enterprise 採依需求報價。CRACI 只收取建置分鐘數費用：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計量，沒有月費，也不按 SBOM 收費。目前的條款請參閱價格方案。
Anchore 與 CRACI 是否支援 VEX 與 Cyber Resilience Act？
Anchore 將 Anchore Enterprise 定位為因應 CRA 的方案，提供 SBOM 管理、漏洞監控、政策關卡、VEX 註記與稽核軌跡。CRACI 同樣支援 VEX。它會記錄每個版本是由哪些內容建置而成、持續追蹤其漏洞，並備妥 CRA 漏洞通報的內容供您提交，將您的 CRA 流程所需佐證資料的一大部分自動化。預約示範，將記錄下的 SBOM 與您目前掃描產生的 SBOM 進行比較。