CRACI 與 Manifest 比較

簡短的答案

Manifest（Manifest Cyber）是以 SBOM 為核心的軟體供應鏈平台。它可針對您自己的產品、廠商的軟體與您的 AI 模型建立、匯入、豐富與分享 SBOM。CRACI 是 GitHub Actions 執行器，會記錄每個作業實際取得的相依套件，並根據這份紀錄產生附完整度狀態的 SBOM。

Manifest 管理的是別人提供給它、或由掃描工具產生的 SBOM。CRACI 從建置產生 SBOM，並以此為基礎追蹤其中的漏洞。對於您自行建置的軟體，CRACI 涵蓋 CI、SBOM 與漏洞追蹤，因此不再需要另外的 SBOM 管理平台。

重點比較

Manifest 的強項

• 第三方軟體。這是 Manifest 最明顯的強項。廠商可透過安全入口直接上傳 SBOM，而且「當廠商不願或無法提供 SBOM 時，Manifest 可以分析二進位檔，直接從編譯後的應用程式產生 SBOM」。CRACI 沒有對應功能：它記錄的是您執行的建置。
• SBOM 營運。Manifest 會蒐集並合併 SBOM，以漏洞與可利用性資料加以豐富，並將結果轉為自動工單、聯繫供應商與風險報告。它支援 SPDX、CycloneDX 與 VEX。
• CI 涵蓋範圍。Manifest CLI 可從任何 CI/CD 管線產生並上傳 SBOM，並提供 GitHub Actions、CircleCI、Jenkins 與 Azure DevOps 的設定文件，另有 GitHub App。
• AI 風險。Manifest 會將 AI 模型與 AIBOM 與軟體一併納入資產清冊，適合正在治理 AI 導入的組織。
• 受監管產業。它將自身功能對應到 FDA 資安指引、EO 14028、NIST 800-218、UNECE R155 與 ISO/SAE 21434，服務汽車、國防、醫療器材、政府與金融服務產業。

CRACI 的不同之處

建置的紀錄，而非儲存庫的掃描

Manifest 的 GitHub Action 以開源掃描工具產生 SBOM，預設為 Syft，也支援 Trivy、cdxgen 等工具。這些工具讀取的是被指定的檔案與映像檔。CRACI 則是執行作業本身。您將 runs-on 改為 craci，具套件感知能力的代理伺服器就會在建置期間記錄對套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設集。相依套件的佐證資料會隨 CI 快取一起保存，因此從快取還原的套件仍會留在紀錄中。

一旦檔案不足，差異就會立刻顯現。Express 5.2.1 沒有提交鎖定檔（lockfile），因此指向乾淨 checkout 的產生工具沒有任何 npm 相依套件可解析，只會回傳它認得的其他內容，例如 GitHub Actions 與工作流程檔案。Manifest 本身無法用這種方式比較，CRACI 也一樣，因為它記錄的是建置，無法掃描目錄。重點在於，掃描的結果取決於工具、其設定與現有檔案，而管理平台中所有下游決策都會沿用這個結果。

每份 SBOM 都有完整度狀態

CRACI 會標示每個作業與每個快取的完整度：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。此狀態會跨快取遞移，因此每則警示與每份報告所依據的資產清冊，其缺口都是已知的。

管控與來源證明

由於 CRACI 執行作業，它會強制執行網路對外連線（egress）政策：預設拒絕或預設允許，提供 24 個內建軟體來源預設集與具型別的自訂來源，在作業開始前驗證，並採失效即封鎖（fail closed）。API 會傳回 SBOM、網路追蹤與來源證明；CRACI 不會為來源證明簽章。

監控

CRACI 會持續重新評估受監控的 SBOM，並跨建置與儲存庫彙整漏洞。CRACI 讓資安團隊能對發現進行分級研判，並交給合適的團隊。

掌握哪些軟體部署在哪裡的資產清冊

CRACI 的資產清冊檢視會精確顯示哪些軟體版本部署到全球哪些產品中。當新漏洞出現時，您可以直接看到哪些產品執行受影響的版本，不必再從版本說明與試算表拼湊答案。

以 CRACI 取代 Manifest

對於您自行建置的產品，CRACI 能完成整個工作：在 GitHub Actions 上執行建置、從建置記錄 SBOM、在新漏洞公布時持續重新評估該 SBOM，並匯出佐證資料。您的管線與 SBOM 平台之間不需要設定掃描工具，也沒有上傳步驟。

請清楚了解您會放棄什麼。Manifest 的強項在於您採購的軟體：廠商上傳入口，以及供應商未提供 SBOM 時的二進位檔分析。CRACI 可以將廠商 SBOM 與您自己的建置放在一起，但沒有廠商入口，也沒有二進位檔分析。Manifest 也提供自動開立工單、將 AI 模型納入資產清冊，並支援多種 CI 系統；CRACI 目前支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。如果第三方軟體是您主要的曝險來源，Manifest 仍是更合適的選擇。

因應 Cyber Resilience Act

Manifest 發布了 CRA 相關資料，並表示針對 CRA，它「產生並維護 SBOM/AIBOM，將元件連結至漏洞與來源證明，自動化持續監控與通知，並產出可匯出的 CRA 符合性佐證資料」。

Cyber Resilience Act（CRA）的通報義務自 2026 年 9 月 11 日起適用：遭積極利用的漏洞須在 24 小時內透過 CRA Single Reporting Platform 提交早期預警。其主要條款自 2027 年 12 月 11 日起適用。對於您自己的產品，主管機關可能會問：您如何確定 SBOM 與發布的版本一致？CRACI 的答案是來自建置的佐證資料：其 API 會傳回每次建置的 CycloneDX SBOM、來源證明與作業網路追蹤，SBOM 也可匯出為 CycloneDX 或 SPDX。

CRACI 將企業在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料自動化。兩者都無法單獨讓製造商符合法規。請參閱 CRA 的要求與以 CRACI 因應 CRA 法規遵循。