CRACI vs Avrea

簡短回答

Avrea 是 GitHub Actions 的託管執行器服務，和 CRACI 一樣來自赫爾辛基，專為速度與深入了解 CI 內部而打造：Linux、Windows 與 macOS 執行器、自動相依套件快取、日誌搜尋、執行時指標、不穩定測試偵測，以及以 SSH 連入執行中的作業。如果您的目標是更快的管線並了解它們為何緩慢，Avrea 的可觀測性比 CRACI 更深入，而且目前就涵蓋 Windows 與 macOS。

CRACI 是原生處理供應鏈安全的 CI。Avrea 也新增了資安功能：Enterprise 方案的對外連線防火牆，以及預覽中的儲存庫 SBOM。差別在於佐證資料的來源。CRACI 會記錄建置實際取得的每個外部相依套件，強制執行失效即封鎖（fail closed）的對外連線政策，並持續監控已出貨內容中的新漏洞。兩款產品取代的都是您作業執行所在的執行器，因此您只會選擇其中一款。

一覽表

Avrea 的強項

CI 可觀測性。Avrea 不需代理程式即可收集每個作業的 CPU、記憶體與網路指標，跨所有作業與儲存庫搜尋日誌，區分不穩定測試與真正的失敗，並顯示快取命中率、緩慢的工作流程與隨時間變化的支出。可從終端機或網頁主控台以 SSH 連入執行中的作業，作業結束後還有一段寬限期。以上功能所有方案皆包含。

速度與快取。Avrea 的執行器在高時脈、配備本機 NVMe 儲存的專屬硬體上執行，相依套件在第一次建置後會自動快取在靠近執行器的位置。Avrea 表示，單靠硬體其執行器就快了約兩倍，快取命中時最多可快十倍。這些是 Avrea 的數據；您自己的管線才是真正的考驗。

平台涵蓋。Avrea 提供 x86-64 上 1 至 32 vCPU 的 Ubuntu、Apple M5 Max 硬體上的 Linux ARM64 與 macOS 26，以及 Windows 2025。CRACI 目前僅支援 Linux，Windows 與 macOS 已列入產品藍圖。Avrea 表示目前支援 GitHub Actions，並計畫加入 GitLab 等其他平台；CRACI 則已將 GitLab CI 與 Jenkins 列入產品藍圖。

服務本身的安全性，以及對外連線防火牆。作業在暫時性 VM 中執行，快取按儲存庫隔離並加密，Avrea 已取得 ISO 27001:2022 認證並通過 SOC 2 Type 2 驗證。其對外連線防火牆列於 Enterprise 方案，依網域、CIDR、協定與連接埠允許或拒絕目的地，在 IP 與 DNS 兩層強制執行，並為每次執行提供連線位置與遭封鎖內容的摘要。

價格與規格

在 x86-64 上，牌價相同，每 2 vCPU 分鐘 $0.004，32 vCPU 為 $0.064，而 Avrea 的執行器記憶體較多：每 vCPU 4 GB，CRACI 為 3 GB。Avrea 也販售每 vCPU 2 GB 的較低記憶體 x86-64 執行器：4 vCPU 搭配 8 GB 為每分鐘 $0.006，8 vCPU 搭配 16 GB 為 $0.012，低於 CRACI 在這些規格的 $0.008 與 $0.016。在 ARM64 上情況則相反。Avrea 的 ARM64 執行器在 Apple M5 Max 硬體上執行，每 2 vCPU 分鐘 $0.012，是 CRACI ARM64 費率的三倍：CRACI 收取與 x86-64 相同的 $0.004。兩者皆按執行時間的秒數計量，因此短作業在任一平台上都只按實際執行的秒數計費。目前的條件請參閱CRACI 價格方案。

CRACI 的不同之處

SBOM 記錄建置取得的內容，而非儲存庫宣告的內容

Avrea 的 SBOM 在不執行程式碼的情況下讀取預設分支上的相依套件 manifest 與 lockfile，並列出正式環境相依套件。這是儲存庫宣告內容的實用清冊。CRACI 的 SBOM 則來自建置本身：每個作業執行時，可辨識套件的代理伺服器會記錄前往套件來源的流量，包括 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設集。其中包括從快取還原的套件，以及沒有任何 lockfile 列出的隱藏相依套件，例如由安裝 hook 或建置腳本下載的程式碼與基礎映像檔層。每個作業都會產生附完整度狀態的 CycloneDX 或 SPDX SBOM。

這很重要，因為建置預設並不可重現：同一個 commit 建置兩次，可能會引入不同的套件。只有取自產生該版本之建置的 SBOM，才能顯示版本中實際包含的內容。

對外連線政策的公平比較

兩款產品都能將建置限制在允許清單內，並拒絕其他一切。Avrea 在可視性上領先：其每次執行摘要會列出主要目的地、傳送的位元組數，以及它拒絕的 DNS 查詢。CRACI 的政策依套件生態系與協定為來源分類，內建 24 個軟體來源預設集，並可為 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、OCI 登錄庫，以及透過 HTTPS 與 SSH 的 Git 設定自訂來源；政策於作業開始前驗證，採失效即封鎖，並在違規時發出警示。而且在政策下執行的同一個作業，也會產生其取得套件的紀錄。

來源證明與監控

API 會回傳 SBOM、網路追蹤與來源證明。CRACI 彙整各建置與儲存庫的漏洞，持續重新評估受監控的 SBOM，並顯示哪些過去的建置包含有漏洞的相依套件。

預約示範，看看您自己的工作流程所產生的 SBOM、網路追蹤與來源證明。

哪一款適合您

以下情況較適合 Avrea

• 主要目標是更快的管線，以及深入了解緩慢作業、不穩定測試與快取行為。
• 您現在就需要 macOS 或 Windows 執行器。
• 您想要每月 3,000 免費分鐘數；在 x86-64 上，兩者的每分鐘牌價相同。
• 您需要執行器廠商提供 SOC 2。

以下情況較適合 CRACI

• 您出貨的軟體必須從建置本身證明每個版本包含哪些內容。
• 您想要依套件來源分類、於作業開始前驗證並採失效即封鎖的對外連線政策。
• 您需要監控已出貨內容中的新漏洞。
• 您的建置在 ARM64 上執行，而 CRACI 在 ARM64 的費率只有 Avrea 的三分之一。

選擇 CRACI 會放棄什麼。Avrea 的 CI 分析與除錯工具、Windows 與 macOS 執行器（已列入 CRACI 的產品藍圖），以及每月 3,000 免費分鐘數。您得到的是一份資安與法規遵循團隊可直接使用的建置紀錄，無需在管線中再加一款掃描工具。

因應 Cyber Resilience Act

歐盟 Cyber Resilience Act（CRA）要求製造商掌握每個版本包含的內容並處理其漏洞，通報義務自 2026 年 9 月起適用，2027 年 12 月起全面適用。來自儲存庫的相依套件清冊是個起點。CRACI 從產生該版本的建置產生 SBOM，監控其中的新漏洞，並以 CycloneDX 或 SPDX 格式匯出，包含漏洞資訊。它將企業在更廣泛的 CRA 法規遵循流程中所需的軟體供應鏈可視性與佐證資料，自動化了相當大的一部分。

從 Avrea 移轉

CRACI 取代的是執行器，而不是 GitHub Actions。工作流程與 GitHub 介面維持不變，作業標籤改為 runs-on: craci。作業可使用 Docker Engine、Buildx 與 Compose v2、相容 GitHub 的 Ubuntu 24.04 映像檔，以及 x86-64 上的巢狀虛擬化。進一步了解CI/CD 整合與建置時 SBOM 產生。新創公司可申請新創計畫。

Avrea vs CRACI：常見問題

依各廠商公開資訊，解答價格、速度、SBOM 與對外連線管控的相關問題

Avrea 是什麼？

Avrea 是 GitHub Actions 的託管執行器服務，由 Aiven 共同創辦人 Hannu Valtonen 與 Nosto 共同創辦人 Juha Valvanne 在赫爾辛基打造。您只需更換執行器標籤，作業就會在 Avrea 的暫時性 VM 上執行，並具備自動快取、日誌搜尋、執行時指標與 SSH 除錯。Avrea 於 2026 年 5 月推出，獲得由 Earlybird 領投的 470 萬美元種子前輪募資。

Avrea 的價格是多少？

截至 2026 年 11 月，Avrea 按執行器分鐘數計費，無月費：2 vCPU x86-64 執行器每分鐘 $0.004，Apple M5 Max 上的 2 vCPU ARM64 為 $0.012，2 vCPU Windows 為 $0.008，8 vCPU macOS 為 $0.08。每個組織每月可獲得 3,000 免費 2 vCPU 分鐘數。固定 IP 每個 IP 每月 $100，對外連線防火牆列於 Enterprise 方案。

Avrea 比 CRACI 便宜嗎？

取決於架構。在 2 vCPU x86-64 上，兩者牌價皆為每分鐘 $0.004，而 Avrea 的執行器記憶體較多。在 4 與 8 vCPU，Avrea 也販售較低記憶體的 x86-64 執行器（每 vCPU 2 GB），價格低於 CRACI。在 2 vCPU ARM64 上，CRACI 較便宜：同樣是 $0.004，Avrea 則為 $0.012，CRACI 只要三分之一的價格。兩者皆按執行時間的秒數計量。Avrea 每月還內含 3,000 免費分鐘數；CRACI 沒有免費方案，但提供新創計畫。

Avrea 比 CRACI 快嗎？

Avrea 表示，單靠硬體其執行器就快了約兩倍，快取命中時最多可快十倍。CRACI 執行建置的速度約為 GitHub 託管執行器的兩倍，得益於更快的硬體、更短的排隊時間與快取。我們尚未對兩者進行相互基準測試，因此請在兩者上執行相同的工作流程並比較結果。

Avrea 現在也有 SBOM 了，CRACI 的有什麼不同？

Avrea 透過靜態分析預設分支上的相依套件 manifest 與 lockfile 產生儲存庫 SBOM，僅包含正式環境相依套件，格式為 CycloneDX 與 SPDX。它描述的是儲存庫宣告的內容。CRACI 記錄的是建置執行期間實際取得的內容，包括從快取還原的套件，以及沒有任何 lockfile 列出的隱藏相依套件，例如由安裝 hook 或建置腳本下載的程式碼與基礎映像檔層。每份 CRACI SBOM 都附有完整度狀態，受監控的 SBOM 會在新漏洞出現時重新評估。

兩者都有對外連線防火牆，差別在哪裡？

兩者都只讓建置連線到您允許的目的地，也都能預設拒絕。Avrea 的規則比對網域、CIDR、協定與連接埠，在 IP 與 DNS 兩層強制執行，並為每次執行提供各建置連線位置的摘要；此功能列於 Enterprise 方案。CRACI 的政策依套件生態系為來源分類，內建 24 個軟體來源預設集，於作業開始前驗證，並採失效即封鎖。CRACI 也會記錄哪些套件與版本經由這些連線進入。

CRACI 支援 Windows 或 macOS 執行器嗎？

尚未支援。CRACI 目前在 x86-64 與 ARM64 上執行 Linux，Windows 與 macOS 已列入產品藍圖。Avrea 提供 Windows 2025 與 Apple M5 Max 上的 macOS 26。

轉換時需要重寫我的 GitHub Actions 工作流程嗎？

不需要。兩款產品取代的都是執行器，而不是 GitHub Actions。工作流程、觸發條件與 GitHub 介面都維持不變；在 CRACI 上，作業標籤改為 runs-on: craci 即可。