CRACI 與 Safeguard 比較

簡短的答案

Safeguard 銷售軟體供應鏈安全平台。其網站表示，它能找出漏洞（包括尚未取得 CVE 的漏洞），以可達性分析加以篩選， 並由其 Griffin AI 模型撰寫修補程式、執行您的 CI，再依您的政策合併 pull request。它以 CycloneDX 與 SPDX 產生 SBOM、 記錄 SLSA 來源證明、將佐證資料對應至各法規遵循框架，並可在雲端、地端或實體隔離環境中執行。它不執行建置： 其 CLI 是在您既有的 CI 中執行。

CRACI 從不同的位置爭取同一筆供應鏈預算。它是 GitHub Actions 的執行器：記錄每個作業實際拉進的套件、 在作業執行時強制執行對外連線政策，並持續監控已交付的內容。Safeguard 在程式碼周邊涵蓋的範圍更廣； CRACI 則在建置及其產出上鑽研得更深。

一覽比較

Safeguard 欄位反映的是其網站與文件所載內容，查證日期為 2026 年 9 月 29 日。「未說明」 表示我們無法在其中確認該項資訊。

Safeguard 的強項

• 提供修補，而不只是發現問題。Safeguard 表示 Griffin AI 會證明可達性、撰寫相容的升級、 在沙箱分支中執行您的 CI 與回歸測試套件，並依您的政策關卡合併。每個付費方案每月都包含一定數量的修補 pull request。
• 可達性優先。發現結果會篩選至您的應用程式實際可觸及的易受攻擊程式碼，讓待處理清單保持精簡。
• 不只相依套件。其 CLI 也會以 SARIF 格式回報機密與錯誤組態，並顯示在 GitHub 的 code scanning 分頁中； 平台也介紹了對原始碼、IaC 與容器的掃描。
• 強化元件。提供公開的 Gold 目錄與強化映像檔及套件的登錄庫，讓團隊可以從沒有已知 CVE 的元件開始。
• 供應商風險。Third Party Risk Manager 可為廠商評分並驗證其提供的 SBOM，Portal 則可將您的 SBOM 發布給客戶。
• 廣泛的 CI 支援、部署選項與免費方案。其文件涵蓋 GitHub Actions、GitLab CI/CD、Jenkins 與 Azure DevOps。它在 Sovereign 方案中提供地端與實體隔離部署，公開自助購買的價格， 並提供不需信用卡的免費方案。

CRACI 的不同之處

從建置中記錄，而非事後掃描

Safeguard 的文件指出，其 CLI 會執行 Syft 與 Grype，並從串接的儲存庫、容器映像檔，以及 package.json 與 requirements.txt 等上傳的資訊清單建立 SBOM。這是建立 SBOM 的標準做法： 讀取檔案，推算出放進了什麼。CRACI 則是看到進入每次建置的流量。具套件感知能力的代理伺服器會記錄作業擷取的每個套件， 涵蓋 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設， 從 CI 快取還原的套件也會保留在紀錄中。

CRACI 正是藉此記錄以 lockfile 為基礎的工具所遺漏的隱藏相依套件：npm 安裝 hook 下載的程式碼、 在建置時擷取內容的 Rust 建置腳本，以及容器建置的基礎映像檔層。每份 SBOM 都以作業與快取為單位標示完整性狀態 （Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded），因此紀錄有缺口時，它會明確說明。

在建置執行時進行控管

掃描器是在事後回報發現的問題。由於 CRACI 本身就是執行器，它能在作業執行時決定作業可以連線到哪些主機。 對外連線政策可設為預設拒絕或預設允許，搭配 24 種內建軟體來源預設與具型別的自訂來源，在作業開始前驗證， 並採失效即封鎖（fail closed）。在預設拒絕政策下，遭入侵的套件若試圖將您的機密傳送到未知主機，連線就會遭到封鎖， 即使是前所未見的攻擊也一樣，CRACI 也會針對違規向您發出警示。

來源證明與監控出自同一份紀錄

Safeguard 表示它會產生、儲存並驗證 SLSA 來源證明。CRACI 的來源證明則來自作業所執行的執行器： API 會回傳 SBOM、網路追蹤與來源證明。CRACI 不簽署來源證明，也不宣稱符合任何 SLSA 等級。 它會在新漏洞公布時持續重新評估您已交付內容的 SBOM，並顯示每一個含有易受攻擊相依套件的過去建置， 讓您知道曝險了多久。

執行器是產品的一部分

由於 CRACI 本身就是執行器，佐證資料會連同運算能力一起提供：執行紀錄仍會顯示在 GitHub 中，而憑藉更快的硬體、 更短的佇列等候時間與快取，CRACI 的建置速度約為 GitHub 託管執行器的兩倍。CRACI 只對建置分鐘數收費，每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計量，無月費，也不按 SBOM 收費。請參閱 CRACI 價格方案。

哪一個適合您

以下情況較適合 Safeguard

• 您希望由工具代為撰寫、測試並合併修補 pull request。
• 您希望在同一個平台中取得可達性分析，以及機密與錯誤組態的發現結果。
• 您在 GitLab、Jenkins 或 Azure DevOps 上建置。
• 您現在就需要地端或實體隔離部署。
• 您希望在 SBOM 之外，同時擁有強化元件登錄庫或供應商風險評分。

以下情況較適合 CRACI

• 您在 GitHub Actions 上建置，並希望將執行器、對外連線政策與相依套件紀錄集中在一處。
• 您需要記錄每次建置實際擷取內容的 SBOM，並附上可向稽核人員出示的完整性狀態。
• 您希望從同一份紀錄取得已交付內容的監控與建置歷程。

以 CRACI 取代 Safeguard

對於您在 GitHub Actions 上建置的軟體，CRACI 可接手 SBOM 與監控工作：它在建置中記錄 SBOM 並標示完整性、 持續重新評估受監控的 SBOM、彙整各建置與儲存庫的發現結果，並讓資安團隊進行分級研判，將每一項分派給負責修正的團隊。 政策關卡可依據發現結果（包括特定 CVE）封鎖建置。

請清楚了解您會放棄什麼。CRACI 不會開啟修補 pull request、沒有可達性分析、不掃描機密或錯誤組態、 不提供強化元件登錄庫、沒有經簽署的來源證明或 SLSA 等級、不會依行為偵測新的惡意套件（它會在含 CVE 的資安公告發布後， 標記已知的惡意版本），目前也沒有地端或實體隔離選項。它僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。 如果自動修補或這些部署選項，比每個版本建置來源的紀錄更重要，Safeguard 會是更合適的選擇。

購買任何 SBOM 工具前應確認的事項

以下問題適用於此類別中的每一家廠商，包括 CRACI。

• SBOM 是如何產生的？詢問是由哪個工具、依據什麼產生：lockfile 與資訊清單、對完成映像檔的掃描， 還是建置的紀錄。接著在您自己的一次建置上執行，並比較元件清單，包括遞移相依套件。
• 向發證單位確認認證。證書或授權可以向核發的機構確認，而「依某框架設計」或「與某框架一致」 並不等同於已取得該認證。Safeguard 的資安頁面表示其架構依 FedRAMP High 與 IL5 設計，SOC 2 Type II 稽核正在進行中；與此說法一致，我們在 2026 年 9 月 29 日查核時，Safeguard 並未列於 FedRAMP Marketplace。 CRACI 已取得 Into Certification 核發的 ISO/IEC 27001 認證，詳情請見其 Trust Center。
• 要求提供參考客戶。Safeguard 的網站在保密協議下以匿名方式介紹其客戶。無論您考慮哪家廠商， 包括 CRACI，都請要求與和您類似的團隊進行參考客戶通話。
• 以書面確認價格。公開價格會變動。Safeguard 的價格頁面註明其數字為提案價格，尚待最終核定。

SBOM 相關要求

多項框架都要求 SBOM 以及處理其中漏洞的方法：美國第 14028 號行政命令以 SBOM 為核心形塑聯邦採購指引， FDA 第 524B 條要求網路裝置提供 SBOM，歐盟的 Cyber Resilience Act（CRA）則要求製造商記錄其元件。CRACI 能自動化這些流程所需的 相當大一部分供應鏈可視性與佐證資料：匯出為 CycloneDX 或 SPDX 的建置時 SBOM、漏洞追蹤，以及透過 API 提供的來源證明。請參閱 CRA 佐證資料。 這兩項工具都無法單獨讓產品達到合規。

此領域的其他工具，請參閱 CRACI 與 Anchore 比較、 CRACI 與 Syft、Grype 比較以及 SBOM 工具比較。

Safeguard 常見問題

什麼是 Safeguard？

根據其網站，Safeguard（Safeguard.sh Inc，位於加州都柏林）銷售軟體供應鏈安全平台。其網站介紹的功能包括以 CycloneDX 與 SPDX 產生 SBOM、SLSA 來源證明、可達性分析、由其 Griffin 模型撰寫的 AI 修補 pull request、第三方風險管理、強化元件登錄庫，以及雲端、地端或實體隔離部署。

Safeguard 如何產生 SBOM？

根據其文件，Safeguard 從串接的儲存庫、容器映像檔與上傳的套件資訊清單建立 SBOM，其 CLI（safeguard scan）則在您的管線中執行 Syft 與 Grype。其與 Anchore 的比較頁面將其 SBOM 列為「透過 Syft」產生的 CycloneDX 與 SPDX。CRACI 不做掃描：它執行建置，並記錄每個作業擷取的套件。

Safeguard 有提供 CI 執行器嗎？

沒有。Safeguard 的 CI 文件顯示其 CLI 是在您所維運的 GitHub Actions、GitLab CI/CD、Jenkins 與 Azure DevOps 管線中執行，並註明 CLI 回報發現結果時不會讓建置失敗；強制執行是在平台的政策關卡中進行。CRACI 本身就是執行器：GitHub Actions 作業在 CRACI 上執行，由 CRACI 記錄每個作業擷取的內容，並控管它可以連線到哪裡。

Safeguard 的價格是多少？

截至 2026 年 9 月，Safeguard 的價格頁面列出：免費方案每月含 5 個修補 pull request、100 個掃描元件與 100 次 MCP 工具呼叫；個人方案每月 $9、$25、$49 與 $99；Team 方案每位使用者每月 $19、$49 與 $99，最少兩位使用者；Business、Enterprise 與 Sovereign 則需報價。法規遵循套件為每個框架每年 $2,099。該頁面註明這些數字為提案價格，尚待最終核定，因此請向 Safeguard 確認目前價格。CRACI 只對建置分鐘數收費：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計量。

CRACI 能取代 Safeguard 嗎？

對於您在 GitHub Actions 上建置之軟體的 SBOM、來源證明與漏洞監控，可以：CRACI 直接從建置本身產生 SBOM，並持續監控。CRACI 無法取代 Safeguard 的 AI 修補 pull request、可達性分析、機密與錯誤組態偵測、強化元件登錄庫或實體隔離部署；而且目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。