CRACI 與 Apiiro 比較

簡短的答案

Apiiro 是應用程式安全態勢管理（ASPM）平台。它的 Deep Code Analysis 會從程式碼到執行環境描繪您的軟體 架構，而它的 Risk Graph 會關聯 Apiiro 自家掃描工具與 第三方工具的檢測結果。它的軟體供應鏈安全（SSCS）模組會盤點儲存庫與管線，並 標記分支保護薄弱、管線設定錯誤與異常 commit 等風險。

CRACI 以不同的定位，爭取同一筆「保護軟體供應鏈」的預算：它執行您的 GitHub Actions 作業。Apiiro 推論的是您的程式碼與管線設定顯示將會發生什麼事；CRACI 記錄的則是 建置實際做了什麼、控管其對外連線，並持續監看您已出貨的內容。大型 AppSec 計畫可能兩者並用。若團隊的首要需求是取得每個 版本發布所含內容的佐證資料，則可以從 CRACI 開始。

一覽比較

Apiiro 的優勢

• 無需變更 CI 即可取得架構脈絡。Apiiro 透過 API 整合連接您的原始碼管理系統，並表示不需要任何 CI/CD 設定或維護。接著，Deep Code Analysis 會描繪 API、 敏感資料、GenAI 框架與程式碼負責人，並在每次 commit 與重大變更時更新。
• AI 程式開發的安全性。2026 年 1 月推出的 Guardian Agent 可搭配 AI 程式 助理運作，把來自您的威脅模型、合規政策與架構的資安準則加入 開發人員的提示詞中，讓助理在寫出有漏洞的程式碼之前就被導向安全的寫法。AI Threat Modeling 則於 2026 年 3 月接著推出。
• 涵蓋範圍廣。Apiiro 列出的原生功能包括 AI SAST、AI SCA、SSCS、機密、基礎架構即程式碼、程式碼中的 API 安全、程式碼的 DSPM 與 AI 威脅建模。這份清單中的程式碼掃描，CRACI 一項都不做。
• 優先排序。Risk Graph 會匯入檢測結果、去除重複並加以關聯，再把它們串連成 「有毒組合」。Apiiro 舉的例子是：一個存放個人識別資訊（PII）的儲存庫，由有漏洞的管線建置， 而其分支在沒有必要審查者的情況下接收 commit。三項中度檢測結果就此成為一項重大風險。
• 軟體工廠資產清冊。SSCS 會盤點儲存庫與 CI/CD 管線（包括影子 管線），以及貢獻者、權限、外掛與相依套件。它會追蹤管線相依套件 漏洞的整個生命週期，而防護機制可以封鎖有風險的 commit 與合併。
• 相依套件分析與修正。AI SCA 會檢查有漏洞的函式是否真的被呼叫、 將相依套件比對到已部署的容器與公開端點、偵測惡意套件，並強制執行授權 政策。AutoFix 會提供版本升級，Apiiro 表示這些升級已預先驗證 API 相容性。
• 整合。原始碼控管方面支援 GitHub、GitLab、Azure DevOps、Bitbucket 與 Perforce； 管線態勢方面支援 Jenkins 與 GitHub Actions；此外還有一長串掃描工具、套件庫與工單工具。

CRACI 的不同之處

建置才是事實來源

Apiiro 的 XBOM 是透過分析程式碼建立的：涵蓋每個套件、API、AI 模型與授權，並隨每次程式碼 變更更新。這能完整呈現您的程式碼宣告與使用了什麼。但建置實際做的事往往比程式碼描述的更多： 它會執行安裝腳本、下載工具鏈、還原快取、拉取基礎映像檔，並抓取發布的二進位檔。

CRACI 本身就是執行器，所以看得到這些活動。在作業執行時，具備套件感知能力的代理伺服器會觀察連往套件來源的流量， 涵蓋 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態。 相依套件的佐證資料會隨 CI 快取一起傳遞，因此從快取還原的套件仍會被記錄。每份 SBOM 都會依作業與快取帶有完整性狀態：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。記錄出現缺口時，您會知道。

在執行器上控管，而不只是檢視態勢

Apiiro 會在管線設定錯誤或可能遭竄改時提醒您。CRACI 則在建置執行時限制它能連線到哪裡。 對外連線政策可設為預設拒絕或預設允許，搭配 24 個內建的軟體來源預設組態、適用於 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、OCI 套件庫與 Git 的具類型自訂來源，以及明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前驗證，並採失效即封鎖（fail closed），CRACI 也可以在違規時向您發出警示。

透過 API 取得建置佐證資料

API 會回傳 SBOM、網路追蹤記錄與來源證明。

出貨之後

每當有新漏洞公開，CRACI 都會持續重新評估您已出貨內容的 SBOM，並跨建置與儲存庫彙整 檢測結果。

掌握哪些內容部署在哪裡的資產清冊

CRACI 的資產清冊檢視會在全球範圍內精確顯示哪些軟體版本部署到哪些產品。當新的 漏洞出現時，您可以直接看到哪些產品執行受影響的版本，而不必從 版本說明與試算表中拼湊答案。

Apiiro 領先之處

坦白說：CRACI 沒有 SAST、機密、IaC 或 API 安全掃描，不會匯入其他掃描工具的 檢測結果，不會稽核分支保護或儲存庫權限，且目前僅支援 GitHub Actions， GitLab CI 與 Jenkins 已列入產品藍圖。CRACI 確實會透過政策關卡封鎖建置，並強制執行授權政策。如果您需要一個 能跨所有程式碼為風險排定優先順序的平台，Apiiro 涵蓋的範圍廣得多。

哪一個適合您

以下情況較適合 Apiiro

• 您希望用單一 ASPM 平台涵蓋多種掃描工具、儲存庫與 SCM 系統。
• 您的優先事項是架構脈絡：哪些程式碼面向網際網路、處理個人識別資訊（PII）或有重大變更。
• 您需要涵蓋 GitLab、Azure DevOps、Bitbucket 或 Jenkins 的儲存庫與管線態勢。

以下情況較適合 CRACI

• 您在 GitHub Actions 上建置，並希望把執行器、對外連線政策與相依套件記錄集中在一處。
• 您需要一份記錄每次建置取用內容的 SBOM，並附上可以向稽核人員出示的完整性狀態。
• 您希望監控已出貨的內容，並取得 CRA 佐證資料。

兩者並用

Apiiro 現在將自己定位為保護代理式（agentic）開發。它的 Guardian Agent 會在程式碼寫出之前，引導 AI 程式助理寫出 安全的程式碼，而它的 XBOM 來自分析您儲存庫中的程式碼。CRACI 則是把資安內建於執行器的 CI/CD， 因此其 SBOM 記錄的是每次建置實際取用的內容，包括程式碼 分析看不到的部分：安裝腳本、工具鏈、快取的套件與基礎映像檔。Apiiro 作用於撰寫程式碼的地方， CRACI 則作用於建置與出貨的地方。CRACI 取代的是執行器，而不是 GitHub Actions，因此任何 Apiiro 管線 整合都能繼續運作。

針對 Cyber Resilience Act

Cyber Resilience Act（CRA）要求製造商掌握每項產品中的元件、 處理其中的漏洞，並保存佐證資料。ASPM 平台有助於安全開發，以及 處理您程式碼中的漏洞。CRACI 會自動處理企業在更廣泛的 CRA 法規遵循流程中所需的軟體供應鏈可視性 與佐證資料中相當大的一部分：建置時 SBOM、漏洞 追蹤、來源證明，以及 CycloneDX 或 SPDX 格式的 SBOM 匯出。 兩種工具都無法單獨讓您符合法規。請參閱 CRA 法規遵循。

加入 CRACI

在您的組織安裝 CRACI GitHub App，接著將作業的執行器標籤改為 runs-on: craci。執行結果仍會顯示在 GitHub UI 中。先從一個會產生發布 建置產物的工作流程開始，並將 CRACI 的 SBOM 與您目前的資產清冊比較。進一步了解 CI/CD 整合、 建置時 SBOM 產生與價格方案。