CRACI 與 Lineaje 比較

簡短的答案

Lineaje 是軟體供應鏈平台。它會掃描原始碼、建置產物儲存庫與容器，為每個元件的風險評分，檢查完整性與來源，修補能修補的部分，並透過 SBOM360 Hub 與客戶分享 SBOM。CRACI 是 GitHub Actions 執行器，會記錄每個作業實際取用的相依套件，並依據這份記錄產生附有完整性狀態的 SBOM。

Lineaje 分析的是既有的內容。CRACI 則記錄建置做了什麼並持續監控，因此 CI、SBOM 與漏洞追蹤都來自同一個產品。

一覽表

Lineaje 的強項

• 分析深度。SCA360 會「在軟體開發的每個階段，掃描每個軟體元件的原始碼與封裝後的程式碼」，列舉必要與選用的相依鏈，並偵測可達的漏洞。
• 完整性與來源。Lineaje 能識別「內嵌的惡意套件與遭竄改的套件」，標示來源可疑的套件，並為每個開源與私有元件的完整性提供證明。CRACI 不以這種方式分析元件。
• 不只找出問題，也加以修補。SBOM360 會為直接相依套件找出相容的更新，並在核准後自動修補，也能產生相容且更安全的容器複本。Gold Open Source 則提供已修補的開源套件、容器與修補程式。
• SBOM 交換。SBOM360 Hub 將 SBOM 連結到產品 SKU，依 NTIA 最低要素進行驗證，讓 VEX 與 CSAF 文件持續對應到每份 SBOM，並與客戶、經銷商及轉售商分享。其上傳 API「相容於任何 SBOM 產生工具」。

如果您的首要任務是分析並整理龐大的既有產品組合（包括非您撰寫的程式碼），Lineaje 在這方面涵蓋的範圍比 CRACI 更廣。

CRACI 的不同之處

來源證明的兩種含義

Lineaje 所說的來源證明主要針對元件：一個開源套件來自哪裡、有誰貢獻過，以及是否有遭竄改的跡象。CRACI 則將其用於您自己的建置：每次建置取用了什麼。API 會回傳 SBOM、網路追蹤記錄與來源證明；CRACI 不簽署來源證明。對於您自己的版本發布，建置取用了什麼，正是稽核人員會問的問題。

建置的記錄，而非對結果的分析

CRACI 執行作業本身。您只需將 runs-on 改為 craci，具備套件感知能力的代理伺服器就會在建置期間記錄連往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態。相依套件的佐證資料會隨 CI 快取一起傳遞，因此從快取還原的套件仍會留在記錄中。

這份記錄不取決於當下剛好存在哪些檔案，而這正是掃描最弱的一環：產生工具只會回報它在眼前檔案中辨識出的內容，因此兩個工具針對同一個儲存庫會回傳不同的清單，而且兩者都沒有錯。Lineaje 無法以這種方式比較，CRACI 也一樣，因為 CRACI 記錄的是建置，無法掃描目錄。

每份 SBOM 都有完整性狀態

NTIA 驗證檢查的是 SBOM 是否帶有必要欄位。CRACI 則依作業與快取，另外提供關於記錄本身的訊號：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。每份 SBOM 的缺口都清楚可知。

在執行器層級進行管控

由於 CRACI 執行作業本身，它可以強制執行網路對外連線政策：預設拒絕或預設允許，並提供 24 個內建的軟體來源預設組態與具型別的自訂來源；政策在作業開始前完成驗證，並採失效即封鎖（fail closed）。Lineaje 可以標示來源可疑的套件；對外連線政策則從一開始就限制建置可以連線到哪些來源。

監控

CRACI 會持續重新評估受監控的 SBOM，並彙整跨建置與儲存庫的漏洞，因此檢測結果會連結到您實際出貨的內容。

部署位置的資產清冊

CRACI 的資產清冊檢視會在全球範圍內精確顯示哪些軟體版本部署到了哪些產品。當新漏洞出現時，您可以直接看到哪些產品執行受影響的版本，而不必從版本說明與試算表中拼湊答案。

以 CRACI 取代 Lineaje

對於使用 GitHub Actions 的軟體團隊，CRACI 涵蓋了企業購買 Lineaje 的核心用途：它在每次建置中產生 SBOM，在新漏洞公開時持續重新評估受監控的 SBOM，彙整跨建置與儲存庫的檢測結果，並讓資安團隊研判這些結果，再將每一項轉派給負責修正的團隊。您不需要另外運作掃描與資產清冊平台。

請清楚了解您會放棄哪些功能。Lineaje 會分析非您建置的元件、檢查套件是否遭竄改或來源可疑、找出可達的漏洞，並透過 Gold Open Source 提供已修補的套件與容器。CRACI 目前都不提供這些功能。SBOM360 Hub 也能與客戶及經銷商分享 SBOM、VEX 與 CSAF 文件；CRACI 支援 VEX 並可匯出 SBOM，但不提供分享平台。如果您的首要任務是整理龐大的既有產品組合（包括第三方程式碼），Lineaje 會是更合適的選擇。

因應 Cyber Resilience Act

Lineaje 在其法規指引中說明了 Cyber Resilience Act（CRA）：「SBOM 必須採用機器可讀格式，並包含產品的最上層相依套件」，而且「必須納入產品的技術文件，並應市場監督機關要求提供」。它建議使用 SBOM360、SBOM360 Hub 及其 Third Party Risk Manager 處理法規相關工作。

CRA 的通報義務自 2026 年 9 月 11 日起適用：遭積極利用的漏洞須在 24 小時內透過 CRA Single Reporting Platform 提出早期預警。其主要條款則自 2027 年 12 月 11 日起適用。最上層相依套件只是最低要求；遞移相依套件仍然是您產品的一部分。CRACI 會記錄每次建置使用的完整相依套件集合，其 API 會回傳每次建置的 CycloneDX SBOM、來源證明與作業網路追蹤記錄，SBOM 也可匯出為 CycloneDX 或 SPDX 格式。

CRACI 自動化了企業在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料。兩項產品都無法單獨讓製造商符合法規。請參閱CRA 的要求與使用 CRACI 因應 CRA 法規遵循。