CRACI vs Cycode

簡短回答

Cycode 自稱為代理式（agentic）開發安全平台，前身是應用程式安全態勢管理（ASPM）。其產品包括程式碼安全（SAST、SCA、容器與 IaC 掃描）、軟體供應鏈安全（CI/CD 安全、建置執行期防護、程式碼外洩偵測、SBOM、機密）、搭配超過 100 個連接器的態勢管理，以及開發流程的 AI 治理。其建置執行期元件 Cimon 是在您的 CI 作業中執行的 eBPF 代理程式。

CRACI 與 Cycode 競爭同一份供應鏈預算，而與 Cimon 的重疊確實存在：兩者都會觀察建置、都能限制建置的對外連線，也都會從建置產生 SBOM。Cimon 還會簽署來源證明；CRACI 則不會。差異在於這些功能所在的位置。Cycode 在您既有的 CI 中加入代理程式，涵蓋眾多系統。CRACI 則是 GitHub Actions 的執行器，因此記錄與政策會隨每個作業而來，CRACI 並將其延續到監控與 CRA 佐證資料。Cycode 的範圍廣得多；CRACI 則在建置與已出貨內容上更深入。

快速比較

Cycode 的強項

涵蓋整個 SDLC 的廣度

• 程式碼安全：SAST 與 AI SAST、具可達性分析與授權合規的 SCA、容器掃描，以及基礎架構即程式碼（IaC）安全。
• 機密與外洩：Cycode 會在原始碼、管線，以及 Jira、Slack、Confluence 等工具中尋找外洩的機密，並偵測外洩的程式碼。
• CI/CD 安全：它會監控 CI/CD 安全政策、組態與治理，並透過政策強制執行，協助團隊符合 NIST SSDF 等標準。
• 態勢管理：Context Intelligence Graph 會跨程式碼、工具組態、雲端基礎架構與負責人追蹤漏洞，ConnectorX 則匯入其他掃描工具的檢測結果。
• SBOM：Cycode 可產生 SPDX 或 CycloneDX 格式的 SBOM，其 Posture Management 方案也列有 SBOM 匯入功能。

建置執行期代理程式 Cimon

Cycode 將 Cimon 描述為在單一 GitHub Actions 或 Azure Pipelines 步驟中，提供執行期安全、執行期觀察產生的 SBOM 與 SLSA 來源證明。它以 eBPF 在核心層級監控程序執行、網路對外連線與檔案存取。在偵測模式下，它只觀察不封鎖；一旦建立管線的正常行為，便會強制執行，而 GitHub Action 可接受允許的主機與 IP。Cimon 依 SLSA Provenance v1.0 規格簽署來源證明，Cycode 表示，在透過 GitHub OIDC 簽署的託管執行器上，這符合 SLSA Build Level 2。它也可在 Jenkins、GitLab CI、Buildkite 與 Harness 上執行，Cycode 表示其為免費且開源。

CRACI 的不同之處

是執行器本身，而非其上的代理程式

Cimon 是加裝在您保留的執行器上；在 GitHub Actions 上，它以特權容器執行，並加入執行器的程序與網路命名空間。這正是它能在託管執行器與眾多 CI 系統上運作的原因。CRACI 走的是另一條路：直接取代執行器。您將 runs-on 改為 craci，對外連線政策就是平台的一部分：在作業開始前驗證、拒絕未知欄位，並採取失效即封鎖。

以套件與來源為單位，而不只是主機

CRACI 的對外連線政策依生態系分類定義。它內建 24 種軟體來源預設組態，支援 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、OCI 套件庫，以及透過 HTTPS 與 SSH 的 Git 等自訂來源，並提供明確的 TLS、TCP、UDP 與 ICMP 規則。具備套件感知能力的代理伺服器會記錄每個作業取用的套件。相依套件的佐證資料會隨 CI 快取一起傳遞，因此從快取還原的套件仍會留在記錄中，而每份 SBOM 都會為每個作業與每個快取標示完整性狀態：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。

從建置到已出貨的內容

• 來源證明：API 會回傳 SBOM、網路追蹤記錄與來源證明。
• 監控：每當有新漏洞出現，CRACI 都會持續重新評估您已出貨內容的 SBOM，並跨建置與儲存庫彙整。
• 匯出：以 CycloneDX 或 SPDX 格式匯出 SBOM，並包含漏洞。

部署在何處的資產清冊

CRACI 的資產清冊檢視會在全球範圍內，精確顯示哪些軟體版本部署到哪些產品。當新漏洞出現時，您可以直接看到哪些產品執行受影響的版本，而不必從版本說明與試算表中拼湊答案。

Cycode 領先之處

坦白說：CRACI 沒有 SAST、機密、IaC 或容器掃描，沒有 ASPM 連接器，沒有程序或檔案監控，目前也還沒有偵測或監控模式（已列入產品藍圖）。CRACI 不簽署來源證明，也不宣稱達到任何 SLSA 等級，而且目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。如果您需要一個涵蓋所有程式碼與每一套 CI 系統的平台，Cycode 涵蓋的範圍要大得多。

哪一個適合您

以下情況較適合 Cycode

• 您希望用一個 ASPM 平台處理程式碼掃描、機密、CI/CD 態勢與優先排序。
• 您使用 Azure Pipelines、Jenkins、GitLab CI 或 Buildkite，並希望在這些系統上取得建置執行期防護。
• 您希望保留 GitHub 託管執行器，並在其上加入代理程式。

以下情況較適合 CRACI

• 您在 GitHub Actions 上建置，並希望將執行器、對外連線政策與相依套件記錄集中在同一處。
• 您需要每次建置都產生套件層級的 SBOM，並附有可向稽核人員出示的完整性狀態。
• 您希望從同一份記錄取得已出貨內容的監控與 CRA 佐證資料。

兩者並用

Cycode 的程式碼掃描、機密偵測與態勢管理涵蓋了 CRACI 未觸及的領域，因此兩者可以並存。Cimon 是例外：在 CRACI 執行器上，建置觀察與對外連線控管本來就是執行器的一部分，因此 CRACI 會取代 Cimon，而不是與它並行，除非您需要 Cimon 的已簽署來源證明。

其他 ASPM 平台、掃描工具與執行器代理程式，請參閱 Cycode 替代方案。

關於 Cyber Resilience Act

Cycode 將其平台定位為支援 Cyber Resilience Act（CRA）符合性，提供自動化 SBOM 產生、漏洞追蹤，以及技術文件所需的佐證資料收集。CRACI 從建置開始，自動化企業在更廣泛的 CRA 法規遵循流程中所需之軟體供應鏈可視性與佐證資料中相當大的一部分：附有完整性狀態的 SBOM、來源證明、已出貨內容的監控，以及作為 CRA 佐證資料的 SBOM 匯出。兩項工具都無法單獨讓您合規。請參閱 CRA 的要求與CRA 法規遵循。

加入 CRACI

在您的組織上安裝 CRACI GitHub App，然後將作業的執行器標籤改為 runs-on: craci。執行紀錄仍會顯示在 GitHub 介面中。進一步了解 CI/CD 整合、 建置時 SBOM 產生與價格方案。