CRACI vs Blacksmith CI

簡短的答案

Blacksmith 是為速度與成本打造的 GitHub Actions 代管執行器服務：在裸機硬體上提供 Linux、Windows 與 macOS 執行器、同地部署的相依套件快取、以持久磁碟實現的 Docker 層快取，以及 CI 可觀測性。如果您唯一的目標是更快、更便宜的 GitHub Actions，Blacksmith 是很好的選擇：它的 x64 牌價與 CRACI 相同，ARM 價格更低，而且每月內含 3,000 免費 x64 分鐘。

CRACI 是原生處理供應鏈安全的 CI。它同樣是相容於 GitHub Actions 的執行器，切換也同樣只需修改一行，但資安是執行器的一部分，而不是額外加上的工具。CRACI 會記錄建置取用的每個外部相依套件，在建置網路上強制執行對外連線政策，並將這份記錄轉化為 SBOM、漏洞監控與 CRA 佐證資料。兩款產品爭取的是同一筆執行器預算，因此您會二選一。

一覽比較

Blacksmith 的強項

專注效能。Blacksmith 在單核效能高的裸機上執行作業，表示其執行器速度是 GitHub 託管執行器的兩倍，同地部署快取的下載速度約快四倍。在 Docker 建置方面，它表示客戶透過層快取獲得 2 到 40 倍的提升。這些是 Blacksmith 自己的數據；您自己的管線才是真正的考驗。

不需修改工作流程的快取。GitHub 官方的快取與 setup actions 可透明地與 Blacksmith 的快取溝通，每個儲存庫每週有 25 GB 的免費儲存空間，並在七天後依最久未使用原則淘汰。Sticky disk 與 Docker 層快取可在多次執行之間保存狀態，每 GB 每月 $0.50；文件也涵蓋 Bazel、Git checkout 與容器映像檔快取。

平台涵蓋範圍。Blacksmith 提供 x64 與 ARM 上 2 至 32 vCPU 的 Ubuntu 22.04 與 24.04、公開 Beta 的 Windows Server 2025，以及 Apple M4 上 6 與 12 vCPU 規格的 macOS。它不設並行數限制。CRACI 目前僅支援 Linux，Windows 與 macOS 已列入產品藍圖，因此對這些作業而言，Blacksmith 涵蓋了 CRACI 尚未支援的範圍。

除錯與分析。以 SSH 連入執行中的作業、執行歷史、日誌搜尋、指標、監控、測試分析與 CI 儀表板，都是文件記載的功能。Testboxes 可在真實的 GitHub Actions 作業中執行本機變更，目前處於早期 Beta。

服務本身的資安與法規遵循。作業在臨時性的 Firecracker 微型虛擬機器中執行，每個作業會取得一個僅限該作業使用、一小時後到期的即時權杖。Blacksmith 表示其符合 SOC 2 Type 2 與 GDPR，並且每季進行滲透測試。

價格與規格

在 x64 上兩者牌價相同，每 2 vCPU 分鐘 $0.004。Blacksmith 的 ARM 價格明顯較低，因為 CRACI 的 ARM64 與 x86-64 採相同費率，而且 Blacksmith 每月內含 3,000 免費 x64 分鐘。CRACI 按秒計量，四捨五入至最接近的秒數，因此短作業只依實際執行的秒數計費。規格配置也不同：CRACI 的一個運算單位是 1 vCPU 搭配 3 GB RAM，可選 1 至 32 個單位；Blacksmith 的 x64 執行器每 vCPU 配 4 GB，ARM 執行器則配 3 GB。比較價格之前，請先對齊您的建置所需的記憶體。最新條款請參閱 CRACI 價格方案。

速度並不是兩者差異最大的地方。兩者都表示自己的執行器速度約為 GitHub 託管執行器的兩倍。CRACI 靠更快的硬體、更短的排隊時間與快取達成。我們尚未對兩者進行基準測試比較。

CRACI 的不同之處

記錄建置取用的內容

每個作業執行時，具備套件感知能力的代理伺服器會記錄連往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態。相依套件的佐證資料會隨 CI 快取一起傳遞，因此從快取還原的套件依然會被計入。每個作業都會產生 CycloneDX 或 SPDX SBOM，並為每個作業與每個快取標示完整性狀態：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。

控制建置可以連線的對象

Blacksmith 的固定 IP 讓您的執行器有一個固定位址，可連線到受防火牆保護的服務。CRACI 同樣提供穩定的對外連線 IP 範圍，並另外提供對外連線政策：預設拒絕或預設允許、24 個內建的軟體來源預設組態、具型別的自訂來源，以及明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前完成驗證，失效即封鎖，並在發生違規時發出警示。

來源證明與監控

API 會回傳 SBOM、網路追蹤記錄與來源證明。CRACI 會彙整各建置與各儲存庫的漏洞，並持續重新評估受監控的 SBOM。

兩個不同的資安問題

Blacksmith 的資安工作回答的是「把作業交給這個執行器服務安全嗎？」：隔離的微型虛擬機器、短效期權杖、加密的快取與 SOC 2 報告。CRACI 也以隔離的虛擬機器、不儲存原始碼來回答這個問題，並進一步回答第二個問題：「這次建置帶入了什麼，又連線到了哪裡？」第二個答案，正是稽核人員、客戶或 Cyber Resilience Act（CRA）會要求您提供的。

預約示範，查看您自己工作流程的 SBOM、網路追蹤記錄與來源證明。

哪一個適合您

Blacksmith 較適合以下情況

• 建置速度與 ARM 上最低的每分鐘成本是主要目標，或每月的免費分鐘數對您很重要。
• 您現在就需要 macOS 或 Windows 執行器。
• 您依賴 sticky disk、Blacksmith 的可觀測性主控台或 SSH 除錯。

CRACI 較適合以下情況

• 您出貨的軟體，必須能從建置本身證明每個版本包含了什麼。
• 您希望以失效即封鎖的政策，限制建置可以連線的對象。
• 您需要監控已出貨的內容，而不想在每個工作流程中加裝工具。
• 您需要歐盟資料落地，這在 CRACI 的 Enterprise 方案中提供。

選擇 CRACI 會放棄什麼。Windows 與 macOS 作業（已列入產品藍圖）、最低的 ARM 價格，以及 Blacksmith 的除錯與分析工具。您得到的是一份資安與法規遵循團隊可以直接使用的建置記錄，不需要在管線中再加一個掃描工具。

因應 Cyber Resilience Act

歐盟 Cyber Resilience Act 要求製造商了解每個版本包含什麼並處理其漏洞，通報義務自 2026 年 9 月起適用，2027 年 12 月起全面適用。快速的執行器本身不會產生這些佐證資料；您得在工作流程中加入 SBOM 與掃描工具。CRACI 則從建置記錄產生這些佐證資料，並將 SBOM 匯出為 CycloneDX 或 SPDX 格式（包含漏洞）。它能自動化企業在更廣泛的 CRA 法規遵循流程中，所需的軟體供應鏈可視性與佐證資料的重要部分。

從 Blacksmith 移轉

CRACI 取代的是執行器，而不是 GitHub Actions。工作流程與 GitHub 介面都維持不變，作業標籤改為 runs-on: craci。作業可使用 Docker Engine、Buildx 與 Compose v2、與 GitHub 相容的 Ubuntu 24.04 映像檔，以及 x86-64 上的巢狀虛擬化。進一步了解 CI/CD 整合與建置時 SBOM 產生。新創公司可以申請新創計畫。

關於快取、OIDC 信任政策、IP 允許清單與備援，請參閱如何切換 GitHub Actions 執行器供應商。若要在歐洲基礎架構上執行建置，請參閱歐洲的 GitHub Actions 執行器。

Blacksmith 與 CRACI：常見問題

依據各廠商公開的資訊，回答價格、速度、平台與資安相關問題

什麼是 Blacksmith CI？

Blacksmith 是 GitHub Actions 的代管執行器服務。您保留原有的工作流程，只要更換執行器標籤，作業就會在 Blacksmith 裸機上的 Firecracker 微型虛擬機器中執行，而不是在 GitHub 託管執行器上。它的賣點是速度與價格：更快的硬體、同地部署的相依套件快取、Docker 層快取與 CI 可觀測性。

Blacksmith 的費用是多少？

截至 2026 年 9 月，Blacksmith 公布的價格為：2 vCPU Ubuntu x64 每分鐘 $0.004、Ubuntu ARM $0.0025、Windows $0.008，macOS M4（6 vCPU）$0.08。每個組織每月可獲得 3,000 免費 2 vCPU x64 分鐘。Docker 層快取與 sticky disk 每 GB 每月 $0.50，固定 IP 每個 IP 每月 $100。

Blacksmith 比 CRACI 便宜嗎？

在 ARM 上是；在 x64 上牌價相同。CRACI 的 2 vCPU 在 x86-64 與 ARM64 上皆為每分鐘 $0.004，Blacksmith 則是 x64 $0.004、ARM $0.0025，而且 Blacksmith 每月內含 3,000 免費 x64 分鐘。CRACI 按秒計量，因此短作業只依實際執行的秒數計費。CRACI 在執行器上額外提供的是建置記錄：每個作業的 SBOM、對外連線政策、透過 API 取得的來源證明資料，以及漏洞監控，這些原本都需要另外的工具。

Blacksmith 比 CRACI 快嗎？

兩者都表示自己的執行器速度約為 GitHub 託管執行器的兩倍。CRACI 靠更快的硬體、更短的排隊時間與快取達成。我們尚未對兩者進行基準測試比較，因此請在兩者上執行同一個工作流程來比較。

Blacksmith 會產生 SBOM 或建置來源證明嗎？

這不在其文件記載的功能中。Blacksmith 專注於運算、快取與可觀測性。CRACI 會記錄每個作業取用的套件，包括從快取還原的套件，並產生附有完整性狀態的 CycloneDX 或 SPDX SBOM。API 會回傳 SBOM、網路追蹤記錄與來源證明。

Blacksmith 能限制建置在網路上可連線的對象嗎？

Blacksmith 提供固定 IP，讓您的作業能從固定位址連線到受防火牆保護的服務。至於限制作業本身可以連線到哪裡的政策，則不在其文件記載的功能中。CRACI 在執行器上強制執行對外連線政策：預設拒絕或預設允許、24 個內建的軟體來源預設組態、在作業開始前完成驗證，並且失效即封鎖。

CRACI 支援 Windows 或 macOS 執行器嗎？

尚未支援。CRACI 目前在 x86-64 與 ARM64 上執行 Linux，Windows 與 macOS 已列入產品藍圖。Blacksmith 提供 Apple M4 上的 macOS，以及公開 Beta 的 Windows Server 2025。

作業在哪裡執行？資料可以留在歐盟嗎？

Blacksmith 在美東、美西、阿姆斯特丹與法蘭克福的裸機上執行作業，其控制平面位於 AWS。CRACI 在歐洲的裸機基礎架構上執行建置，Enterprise 方案提供歐盟資料落地。CRACI 不會儲存您的原始碼；原始碼僅在建置期間於作業 VM 中處理。

Blacksmith 符合 SOC 2 嗎？

Blacksmith 表示其符合 SOC 2 Type 2 與 GDPR，並且每季進行滲透測試。CRACI 在其 Trust Center 中說明其資安控制措施。

切換時需要改寫 GitHub Actions 工作流程嗎？

不需要。兩款產品取代的都是執行器，而不是 GitHub Actions。工作流程、觸發條件與 GitHub 介面都維持不變；在 CRACI 上，作業標籤改為 runs-on: craci。