CRACI vs Cybellum

簡短的答案

Cybellum 是為汽車、醫療與工業市場的裝置製造商打造的產品資安平台。它分析韌體二進位檔，將其與原始碼及供應商 SBOM 整合，再與漏洞資料比對，並支援 PSIRT 在產品上市後的工作：監控、分級研判、調查與法規佐證資料。CRACI 則是一個 GitHub Actions 執行器，會在每次建置執行時記錄其拉進來的內容，從這份紀錄產生 SBOM，並持續監控。

每個 PSIRT 案件的第一個問題，都是哪些產品與版本含有該有漏洞的元件。Cybellum 透過分析您出貨的內容來回答，不論其來源為何。CRACI 則依據您自己的建置實際擷取內容的紀錄來回答。對於您在 GitHub Actions 中建置的軟體，CRACI 涵蓋資產清冊、監控以及分級研判本身。對於以二進位檔形式取得的韌體，Cybellum 涵蓋了 CRACI 不涵蓋的範圍。

一覽比較

Cybellum 的強項

分析二進位檔。Cybellum 的 Cyber Digital Twins「可以從任何產品或元件的二進位檔中擷取」。平台會分析每項產品的韌體二進位檔，揭露「SBOM、版本歷史、授權、硬體架構、作業系統設定等」，而「您也有原始碼嗎？」只是額外的選項。當車輛或醫療裝置中大量程式碼來自您從未見過其建置過程的供應商時，這一點就很重要。

多種來源匯成一份 SBOM。Cybellum 整合「來自二進位檔掃描工具、原始碼，以及 SPDX、CycloneDX 或 CPE CSV 格式之外部 SBOM 來源的資料」，去除重複的相同套件，並讓團隊能針對任何產品、版本或分支自動修正、驗證並核准 SBOM，再以 SPDX 或 CycloneDX 格式分享。

已知 CVE 以外的發現。它的漏洞資料庫結合公開與非公開的資料來源、EPSS 與研究成果，Cybellum 還加入了「內建的惡意軟體與程式撰寫缺陷偵測引擎」。團隊可匯入威脅模型、TARA、模糊測試與滲透測試結果，再透過 AI 助理 VM CoPilot 進行分級研判。

為 PSIRT 工作而設計。其事件應變模組讓團隊能「準確看出哪些產品或元件受到新漏洞或新法規影響」，提供「建立與管理調查的工作台」，可開立工單，並「視需要透過 VEX/CSAF 報告」分享漏洞狀態。

法規佐證資料。Cybellum 管理「FDA PMA、ISO 21434、CRA 以及您自訂政策框架」的佐證資料，並預先對應了「50 多項標準、法規與最佳實務」的要求。它可在公有雲或您自己的資料中心執行。LG Electronics 於 2021 年取得 Cybellum 的多數股權，Cybellum 則以自有品牌持續營運。

CRACI 的不同之處

Cybellum 的起點是產出物：韌體映像檔、原始碼樹、供應商寄來的 SBOM。CRACI 的起點則是建置本身，因為建置就在 CRACI 上執行。

觀測而來，而非推測

將 runs-on 改為 craci，作業就會在 CRACI 執行器上的隔離虛擬機器中執行。能辨識套件的代理伺服器會記錄作業從套件來源下載的內容，從 CI 快取還原的套件也會一併沿用。每份 SBOM 都會依作業與快取標示其完整程度：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。韌體團隊可在最高 32 vCPU、96 GB RAM 的執行器上執行 Yocto。在core-image-sato 的並排建置比較中，CRACI 的 SBOM 涵蓋 Yocto 自身 SPDX 輸出中的每個元件，另外多出 88 個（例如主機套件與 GitHub Actions），並為 Yocto 列出卻缺少套件 URL 的全部 653 個 Rust crate 版本各提供一個套件 URL。

CVE 影響了哪些建置與產品

CRACI 會保存每一次過去的建置及其 SBOM，因此當資安公告發布時，您可以在資料保留期間內看出哪些建置含有該有漏洞的相依套件（不論直接或遞移），以及持續了多久。其資產清冊檢視能在全球範圍內準確顯示哪些軟體版本部署在哪些產品上。CRACI 會持續重新評估受監控的 SBOM，支援 VEX，並讓資安團隊對發現結果進行分級研判，再逐一轉交給負責修正的團隊。您可以加入廠商 SBOM，讓外購元件與您自己的建置一併受到監控。

建置期間的控制

掃描產出物無法改變建置當時能連線到哪裡，CRACI 的對外連線政策則可以：政策可設為預設拒絕或預設允許，在作業開始前完成驗證，採失效即封鎖（fail closed），違規時會發出警示。政策關卡也能攔下含有特定 CVE 的建置。

選擇 CRACI 時要放棄的部分

CRACI 不分析二進位檔，因此無法告訴您建置下載的供應商二進位檔裡有什麼，只能告訴您建置擷取了它，以及從哪裡擷取。它不搜尋零時差漏洞，掃描原始碼中的程式撰寫缺陷不在其範圍內，也沒有依標準進行的引導式檢查與報告匯出。目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖；它以歐洲基礎架構上的代管執行器形式運作，客戶自架執行器已列入產品藍圖。

如何選擇

• 您大部分的韌體都是以二進位檔形式從供應商取得。選 Cybellum。要看見二進位檔的內部，就得分析二進位檔。
• 您在 GitHub Actions 中建置自己的軟體與映像檔。CRACI 執行建置、記錄其輸入，並追蹤所記錄內容中的漏洞，因此 PSIRT 的資產清冊直接來自建置本身。
• 您需要用於汽車或醫療法規申請的佐證資料。Cybellum 提供 FDA PMA、ISO 21434 與 EU CRA 的法規範本。CRACI 可將 SBOM 匯出為 CycloneDX 或 SPDX，其 API 也能回傳 SBOM、網路追蹤紀錄與來源證明，供您更廣泛的流程使用。
• 您想限制建置能下載的內容。選 CRACI。這種控制只存在於建置執行的地方。

針對 CRA

Cyber Resilience Act（CRA）要求製造商識別並記錄產品中的元件（包括 SBOM）、在支援期間處理漏洞，並自 2026 年 9 月起通報遭積極利用的漏洞。Cybellum 以跨產品與供應商的 CRA 範本與佐證資料提供協助。CRACI 則為您建置的軟體產生每次建置的內容佐證資料，提供持續監控以及 CycloneDX 或 SPDX 格式的 SBOM 匯出，並準備 CRA 通報內容供您提交。CRACI 能自動化製造商在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料，但它本身並不能讓產品符合法規。請參閱CRA 的要求。

在 CRACI 上執行您的建置

將建置作業指向 runs-on: craci，相同的工作流程就會繼續在 GitHub Actions 中執行，同時由 CRACI 記錄。若是 Yocto，CRACI 文件中的範例展示了完整的 BitBake 工作流程。也歡迎了解 CRACI 如何應用於 工業物聯網與 消費性電子產品。

剛接觸這個職務嗎？請閱讀PSIRT 的職責與CRACI 給 PSIRT 團隊的價值。正在評估兩種以上的工具嗎？請參閱PSIRT 工具比較與 Cybellum 替代方案。