軟體供應鏈安全工具與平台（2026）

本頁適合誰

您肩負「保護我們的軟體供應鏈」的任務，需要決定預算該花在哪裡。以下工具在不同的環節運作：橫跨您的儲存庫與管線、在建置執行器上、在套件登錄庫中，或針對完成的建置產物。CRACI 是我們打造的產品，與本類別中的工具直接競爭，請您將這點納入考量。我們依據每項工具自己的文件來描述它們，並說明其他工具更合適的情況。

什麼是軟體供應鏈安全？

完整指南請參閱什麼是軟體供應鏈安全，以及 最佳實務檢查清單。

您的軟體是您自己的程式碼，加上它所仰賴的一切：開源套件、基礎映像檔、建置工具、第三方 CI actions，以及將它們轉變為版本的管線。軟體供應鏈安全的工作，是了解這些組成是什麼、控制它們的來源，並證明每個版本放進了什麼。應用程式安全找出您所撰寫程式碼中的缺陷；供應鏈安全則涵蓋程式碼周邊的一切。

攻擊者會針對每一個環節下手。近期的三起事件說明了位置所在：

• 相依套件。2024 年 3 月，Linux 發行版中隨附的壓縮函式庫 xz utils，在 5.6.0 與 5.6.1 版中被發現含有惡意程式碼（CVE-2024-3094）。
• CI 管線。2025 年 3 月，tj-actions/changed-files 這個 GitHub Action 遭到入侵（CVE-2025-30066），使用它的工作流程中的存取金鑰、GitHub 個人存取權杖與 npm 權杖等機密因此外洩。
• 套件登錄庫。2025 年 9 月，會自我複製的 Shai-Hulud 蠕蟲入侵了超過 500 個 npm 套件。它竊取包括 GitHub 權杖與雲端金鑰在內的開發者憑證，並利用這些憑證發布更多受感染的套件。

1:53

軟體供應鏈安全工具有哪些類型？

沒有任何單一產品能涵蓋所有環節，而以下廠商所說的「供應鏈安全」也各有不同。大多數解決方案可依其運作位置，歸入七種類型之一。

如何選擇軟體供應鏈安全平台？

從您目前無法回答的問題開始，再挑選在答案所在之處運作的工具。以下六個問題能快速區分各個選項。

• 您需要廣度還是深度？應用程式安全態勢管理（ASPM）平台會連接您的儲存庫、管線與掃描工具，並在其中排定風險優先順序。建置層級的工具則在單一環節上更深入：軟體建置期間發生了什麼事。
• 您想保留現有的執行器嗎？StepSecurity Harden-Runner 與 Cycode 的 Cimon 等代理程式，會為您已在使用的執行器加上監控。CRACI 則取代 GitHub Actions 的執行器。
• 風險在您的輸入中嗎？如果您最擔心惡意套件或充滿 CVE 的基礎映像檔，篩選或強化輸入的工具能直接處理這個問題。
• 您是否出貨並非您自行建置的軟體？只有二進位檔分析能在沒有建置過程的情況下檢視套件內部。
• 您使用哪些 CI 系統？這裡大多數工具都涵蓋多種 CI 系統。CRACI 目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。
• 您需要向誰證明什麼？客戶、稽核人員與歐盟 Cyber Resilience Act（CRA）等法規，越來越常要求每個版本提供 SBOM，以及漏洞處理方式的紀錄。一個列出發現的儀表板，並不等於已出貨內容的佐證資料。

接著，向候選名單上的每家廠商提出相同的問題：

• 您的元件清單從何而來：資訊清單、原始碼分析、建置，還是完成的二進位檔？
• SBOM 不完整時會告訴我嗎？能否以 CycloneDX 或 SPDX 匯出？
• 您能阻止建置連線到非預期的主機，還是只能在事後回報？
• 我之後能否驗證我部署的建置產物，就是當初建置出來的那一個？
• 您目前支援哪些原始碼控管與 CI 系統？哪些已列入產品藍圖？
• 計價單位是什麼：開發者、貢獻者、映像檔、建置次數，還是個別報價？

各工具如何比較？

這些工具分為兩種型態，因此有兩張表格。第一張比較平台與建置安全工具如何掌握與控制管線。第二張比較針對輸入與輸出運作的工具。「未說明」表示我們引用的廠商頁面並未明確說明。

平台與建置安全

輸入與輸出

軟體供應鏈安全工具的費用是多少？

以下九款工具中，有五款依開發者人數計價，大多數透過業務銷售付費方案。CRACI 則只收建置分鐘數費用，因此成本取決於您建置了多少，而不是有多少人提交程式碼。價格為各廠商於 2026 年 9 月公布的價格；Apiiro 與 Legit Security 的頁面未提供價格，因此未列入。

依開發者計價會隨團隊規模成長；依建置分鐘數計價則隨管線用量成長。CRACI 的價格包含執行器分鐘數，可取代您為 GitHub 託管執行器支付的費用。請參閱 CRACI 價格方案 與執行器價格比較。依團隊規模、含執行器在內的公開價格圖表，請參閱 軟體供應鏈安全價格比較。

CRACI

CRACI 是 GitHub Actions 的執行器。您將 runs-on 改為 craci，每個作業執行期間，一個能辨識套件的代理伺服器就會記錄它下載的內容，包括從 CI 快取還原的套件。每份 SBOM 都會依作業與快取標示完整性狀態，對外連線政策在作業開始前驗證並且失效即封鎖（fail closed），CRACI 也會持續重新評估已出貨內容的 SBOM。最適合出貨軟體、且必須證明每個版本放進了什麼的團隊。注意：不提供 SAST、機密或 IaC 掃描、安全態勢檢查或二進位檔分析，且目前僅支援 GitHub Actions（GitLab CI 與 Jenkins 已列入產品藍圖）。 建置時 SBOM 產生

平台與 ASPM

Apiiro

Apiiro 是一套 ASPM 平台。Deep Code Analysis 從程式碼到執行環境描繪出您的架構，Risk Graph 則將 Apiiro 自家掃描工具與第三方工具的發現交叉關聯成「toxic combinations」。它的供應鏈模組會盤點儲存庫與管線（包括影子管線），並標示薄弱的分支保護與異常的 commit。它透過 API 連接，不需要變更 CI。最適合希望在多種原始碼控管系統中掌握架構脈絡的大型 AppSec 計畫。注意：它的資產清冊來自程式碼分析，而非觀察建置，也無法控制建置能連到哪裡。 CRACI 與 Apiiro 比較

Cycode

Cycode 是一套 ASPM 平台，具備 SAST、SCA、機密、容器與 IaC 掃描、CI/CD 安全態勢，以及 100 個以上的連接器。它的建置元件 Cimon 是在您的 CI 作業中執行的 eBPF 代理程式。它監控程序、網路對外連線與檔案存取，在強制執行前先學習管線的正常行為，產生依執行階段觀察所得的 SBOM，並簽署 SLSA 來源證明。Cycode 表示 Cimon 是免費開源的。最適合希望以單一平台涵蓋程式碼與多種 CI 系統，並在自己保有的執行器上提供建置執行階段保護的團隊。注意：Cimon 是加裝在您執行器上的代理程式，而不是執行器本身。CRACI 與 Cycode 比較

OX Security

OX Security 是一套 ASPM 平台，具備自有的掃描工具，能彙整來自 Checkmarx、Snyk 與 Black Duck 等第三方工具的發現，並提供 CI/CD 安全態勢政策，標示未釘選的 actions、過大的工作流程權限與有風險的 webhook。它的 Pipeline Bill of Materials（PBOM）是每次建置經簽章的紀錄，內容包括管線定義、執行器身分、建置參數與建置產物簽章。最適合橫跨 GitHub Actions、GitLab、Jenkins、Azure Pipelines 與 CircleCI 的安全態勢政策與 pull request 把關。注意：它的 SBOM 是從連接的來源收集而來，其政策檢查的是管線設定，而不是限制執行中的作業能連到哪裡。 CRACI 與 OX Security 比較及 OX Security 替代方案

Legit Security

Legit Security 描繪您的整個開發生命週期：一份持續更新、涵蓋 SDLC 系統、管線及其資安控制措施的資產清冊，並在原始碼控管、CI 與登錄庫中執行數百項政策。它協調 Snyk、Checkmarx 與 GitHub Advanced Security 等掃描工具，加入原生 SAST 與 SCA，在程式碼以及建置日誌、Slack 與 Confluence 中找出機密，並產生 SBOM 與經簽章的證明。最適合接手了大量儲存庫與多種 CI 系統、需要一層治理平台的資安團隊。注意：它透過 API 讀取設定與掃描工具輸出，因此看不到作業執行期間的網路流量。 CRACI 與 Legit Security 比較及 Legit Security 替代方案

Kusari

Kusari 來自共同打造 GUAC（OpenSSF 的供應鏈中繼資料關係圖）的團隊。它的平台從您的 SBOM、VEX 文件與掃描工具輸出建立知識圖譜，顯示新漏洞的影響範圍、分析可達性，並開啟先經過驗證的 AutoFix pull request。Kusari Inspector 會審查 pull request 中的惡意套件、機密與不安全的工作流程，Kusari 表示它可免費安裝。最適合橫跨多種 SBOM 來源與掃描工具的單一關係圖。注意：關係圖反映的是輸入給它的 SBOM，而 Kusari 的 SBOM 來自產生工具（它的 waybill 工具組或您自己的工具），而非來自建置。CRACI 與 Kusari 比較及 Kusari 替代方案

Endor Labs

Endor Labs 以函式層級的可達性分析為核心：靜態程式分析會追蹤您的程式碼是否可能呼叫直接或遞移相依套件中有漏洞的函式，Endor Labs 表示這能將 SCA 發現減少 92%。升級影響分析、自動化 pull request，以及將修正回移植到您所用版本的 Endor Patches，負責處理修補工作。它也涵蓋 AI SAST、機密、容器、位於您登錄庫前端的 Package Firewall，以及具備依可達性產生 VEX 的 SBOM Hub。最適合主要問題在於警示數量過多的團隊。注意：它的資產清冊來自原始碼分析，且不會執行或限制您的建置。CRACI 與 Endor Labs 比較

建置與執行器安全

StepSecurity

在所有資安廠商中，StepSecurity Harden-Runner 是與 CRACI 重疊最多的一個。它是在您既有 GitHub Actions 執行器（包括 GitHub 託管執行器）上執行的代理程式，會將每一條對外連線、每個程序與每次檔案寫入，對應到引發它的工作流程步驟。它可以先以稽核模式為每個作業建立基準，再封鎖允許清單以外的所有對外連線。StepSecurity 也銷售 Secure Registry、儲存庫強化 pull request 與 Dev Machine Guard。最適合想保留 GitHub 託管或自架執行器，或使用 GitLab CI 或 Azure DevOps 的團隊。注意：它的允許清單是端點清單，記錄的是連線目的地，而不是套件層級的 SBOM。 CRACI 與 StepSecurity 比較

套件與輸入安全

Socket

Socket 分析開源套件的行為：安裝腳本、網路與檔案系統存取、混淆的程式碼、已知惡意軟體與錯字搶註套件。它會在 pull request 中標示有風險的新增套件，Socket Firewall 則在安裝時封鎖惡意套件，並提供適用於 npm、yarn、pnpm、pip、uv 與 cargo 的免費版本。它也提供可達性分析。最適合在惡意套件進入之前加以阻擋，包括尚無資安公告的套件。注意：它讀取的是專案宣告的資訊清單與 lock 檔案，其防火牆過濾的是套件安裝，而不是作業其餘的網路流量。CRACI 與 Socket 比較

Chainguard

Chainguard 從原始碼建置開源軟體，並以強化後的形式提供：它稱為零 CVE 的容器映像檔、從經驗證原始碼重新建置的 Java、Python 與 JavaScript 函式庫、VM 映像檔，以及強化的 GitHub Actions，每一項都附有經簽章的 SBOM 與 SLSA 來源證明。對於有訂單的客戶，它承諾在符合條件的修補程式推出後 7 天內修補重大 CVE，其他嚴重等級則在 14 天內修補。最適合掃描工具不斷在基礎映像檔中標示 CVE 的團隊。注意：它的 SBOM 與來源證明描述的是 Chainguard 自家的建置產物。您自己的建置仍需要自己的紀錄，這也是它很適合搭配建置層級工具的原因。 CRACI 與 Chainguard

二進位檔分析

ReversingLabs

ReversingLabs Spectra Assure 在沒有原始碼的情況下分析完成的軟體套件，採用靜態二進位檔分析、16 個惡意軟體偵測引擎，以及能標示版本之間可疑變更的差異分析。它從二進位檔匯出 CycloneDX 與 SPDX 格式的 SBOM，並能在您部署之前評估商業與第三方軟體。最適合作為防範惡意軟體與竄改的版本發布關卡，以及用於並非您自行建置的軟體。注意：它從輸出反推，因此看不到建置下載了、但並未出貨的建置工具或測試相依套件。 CRACI 與 ReversingLabs 比較

本類別背後的框架與法規

這些工具的需求，大多來自要求提供元件資產清冊、軟體建置方式紀錄，以及漏洞處理流程的框架與規範。

• SLSA（Supply-chain Levels for Software Artifacts）是一套可逐步採用的指引，由 Linux Foundation 旗下的跨產業合作維護。其 Build track 評定建置來源證明的可信程度。
• NIST SSDF（SP 800-218，1.1 版，2022 年 2 月）提出安全軟體開發實務，以減少已發布軟體中的漏洞。
• 美國第 14028 號行政命令第 4(e) 節指示制定軟體供應鏈指引，其中包括為每項產品向採購方提供 SBOM。它形塑的是聯邦採購指引，而不是直接約束每一家廠商。
• CISA、NSA 與 ODNI 於 2023 年發布「Securing the Software Supply Chain: Recommended Practices Guide for Customers」，涵蓋採購、測試、部署、修補與 SBOM。
• 歐盟 Cyber Resilience Act（Regulation (EU) 2024/2847）的通報義務自 2026 年 9 月 11 日起生效，並自 2027 年 12 月 11 日起全面適用。
• NIS2 第 21(2) 條將供應鏈安全與漏洞處理列為其要求的措施之一，美國 FDA 則要求網路裝置製造商提供 SBOM。

這些框架都沒有指定特定的產品類別。它們的共通點是佐證資料：每個版本準確的元件清單、建置方式的紀錄，以及漏洞已受到追蹤的證明。

CRACI 的定位

CRACI 是 GitHub Actions 的執行器。您將 runs-on 改為 craci，每個作業執行期間，一個能辨識套件的代理伺服器就會記錄它下載的內容，包括從 CI 快取還原的套件。每份 SBOM 都會依作業與快取標示完整性狀態。對外連線政策（預設拒絕或預設允許）會在作業開始前驗證，並且失效即封鎖。CRACI 會持續重新評估已出貨內容的 SBOM。CRACI 的資產清冊檢視會確切顯示，全球範圍內哪些軟體版本部署在哪些產品上。成果是每次建置一份 SBOM、每次建置連線範圍的紀錄，以及來自 API 的來源證明資料，將您的 CRA 流程所需的供應鏈可視性與佐證資料，自動化了相當大的一部分。

如果您需要 SAST、機密或 IaC 掃描、橫跨儲存庫的安全態勢檢查、封鎖前的稽核模式、套件封鎖清單（已列入產品藍圖）、二進位檔分析，或目前需要 GitHub Actions 以外的 CI 系統（GitLab CI 與 Jenkins 已列入產品藍圖），CRACI 就不是合適的選擇。許多團隊會將它與上述工具搭配使用：以 ASPM 平台處理程式碼與安全態勢，以 Socket 或 Chainguard 處理輸入，以 ReversingLabs 處理輸出。進一步了解 建置時 SBOM 產生、 CI/CD 整合與價格方案，或 預約示範，完整查看一次記錄下來的建置。

比較供應鏈各環節的工具

本頁是總覽。每個領域都有更深入的比較與指南。

• SBOM：SBOM 工具比較、 建置時 SBOM 產生、 為什麼要建置時 SBOM與 如何在 GitHub Actions 中產生 SBOM。
• 執行器與 CI/CD 安全： GitHub Actions 執行器供應商、 執行器安全工具、 CI/CD 管線安全檢查清單與 GitHub Actions 的對外連線政策。
• 相依套件：SCA 工具比較、 遞移相依套件解析與 什麼是軟體組成分析。
• 法規：CRA 法規遵循工具。
• 為什麼是建置： 為什麼供應鏈安全應該在 CI 中進行、 使用 CRACI 實現軟體供應鏈安全，以及 為什麼內部與低風險軟體也需要它。

CRACI 與各工具比較

• CRACI vs Apiiro 來自程式碼的風險圖譜，對比來自建置的佐證資料。
• CRACI vs Cycode ASPM 加上建置代理程式，對比建置執行器本身。
• CRACI vs OX Security 來自串接工具的 PBOM，對比來自執行器的紀錄。
• CRACI vs Legit Security 保護 SDLC，對比記錄建置。
• CRACI vs Kusari 供應鏈圖譜，對比附監控的建置 SBOM。
• CRACI vs ReversingLabs 對建置輸出做二進位分析，對比來自建置的佐證資料。
• CRACI vs Socket 套件行為分析，對比建置觀察。
• CRACI vs Chainguard 安全的輸入，對比安全且有紀錄的建置。
• CRACI vs Xygeni 附建置證明的 AppSec 平台，對比本身就是建置執行器。
• CRACI vs Wiz 工作流程態勢發現，對比在作業內強制執行。
• CRACI vs Safeguard 掃描與 AI 自動修正，對比記錄建置本身。

軟體供應鏈安全常見問題

買家最常提出的問題，簡短解答

什麼是軟體供應鏈安全解決方案？

保護從第一次 commit 到版本發布之間，進入您軟體的所有內容的工具：開源相依套件、基礎映像檔、建置工具、CI 管線，以及您出貨的建置產物。主要類型包括：在整個開發生命週期中描繪風險的 ASPM 平台、針對相依套件的軟體組成分析、建置與執行器安全、套件防火牆、強化映像檔、二進位檔分析，以及 SBOM 與來源證明工具。

最好的軟體供應鏈安全平台是哪一個？

沒有單一最好的平台，因為每一個涵蓋的是不同的環節。Apiiro、Cycode、OX Security 與 Legit Security 等 ASPM 平台最擅長橫跨儲存庫與 CI 系統的廣度。Endor Labs 專注於相依套件發現的可達性，Socket 專注於惡意套件，Chainguard 專注於強化的輸入，ReversingLabs 則專注於完成的二進位檔。當您需要一份記錄每次 GitHub Actions 建置實際引入內容的紀錄，並具備對外連線控制與來源證明資料時，CRACI 就是您的選擇。

軟體供應鏈安全與應用程式安全有何不同？

應用程式安全透過 SAST 與 DAST 等工具，找出您團隊所撰寫程式碼中的缺陷。軟體供應鏈安全則涵蓋程式碼周邊的一切：第三方元件、建置系統、CI 管線，以及從建置到發布的路徑。xz utils 後門、tj-actions/changed-files 遭入侵事件與 Shai-Hulud npm 蠕蟲，都是透過供應鏈入侵，而不是受害者自己程式碼中的錯誤。

應該從哪一種軟體供應鏈安全工具開始？

從您目前無法回答的問題開始。如果您不知道出貨的內容中有哪些有漏洞的相依套件，請從 SCA 開始。如果您最擔心惡意套件，請考慮套件防火牆。如果您必須為客戶或歐盟 Cyber Resilience Act（CRA）證明每個版本放進了什麼，您需要一份在建置期間取得的紀錄。擁有許多儲存庫與 CI 系統的大型計畫，通常還會在其上加入 ASPM 平台。

軟體供應鏈安全需要 SBOM 嗎？

越來越需要。歐盟 Cyber Resilience Act 要求製造商識別其產品中的元件（包括製作 SBOM），並處理其中的漏洞。美國 FDA 要求網路裝置提供 SBOM，美國第 14028 號行政命令也形塑了要求供應商提供 SBOM 的聯邦指引。SBOM 的價值取決於它的完整程度，因此請詢問每家廠商其元件清單從何而來，以及清單不完整時是否會告知您。

CRACI 與供應鏈安全掃描工具有何不同？

掃描工具是在事後讀取檔案：資訊清單、lockfile、原始碼或完成的二進位檔。CRACI 是記錄工具。它是您 GitHub Actions 作業的執行器，在每個作業執行期間，記錄作業實際引入的套件，包括從 CI 快取還原的套件。每份 SBOM 都會標示自身的完整性，對外連線政策控制建置能連到哪裡，API 則回傳 SBOM、網路追蹤與來源證明。

CRACI 支援哪些 CI 系統？

目前支援 GitHub Actions；其他 CI 系統已列入產品藍圖，包括 GitLab CI 與 Jenkins。執行器為 x86-64 與 ARM64 架構的 Linux，Windows 與 macOS 已列入產品藍圖。本頁大多數平台都涵蓋多種 CI 系統，如果您也使用 Jenkins 或 Azure Pipelines，請將這點納入考量。

軟體供應鏈安全工具的費用是多少？

大多數依開發者人數收費。截至 2026 年 9 月，StepSecurity Enterprise 為每位貢獻開發者每月 $16，Socket Team 為每位開發者每月 $25，Cycode、OX Security 與 Endor Labs 則透過業務銷售付費方案。ReversingLabs Community+ 為固定每月 $500，Chainguard 免費提供最多五個映像檔，CRACI 則只收建置分鐘數費用：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），無月費。