StepSecurity 與 CRACI 比較

簡短的答案

StepSecurity 是一個軟體供應鏈安全平台，涵蓋四個控制點：開發者電腦、套件庫、程式碼儲存庫與 CI/CD。其 CI/CD 產品 Harden-Runner 是一個代理程式，會監看作業中的每個對外連線、程序與檔案寫入，將每一項對應到引發它的工作流程步驟，並可封鎖連往允許清單以外任何目的地的對外連線。Enterprise 方案為每位貢獻開發者每月 $16，在 GitHub 託管執行器上的公開儲存庫則免費。

CRACI 取代的是執行器本身：它的對外連線政策由執行器平台執行，並在作業開始前完成驗證，同一個作業也會產生套件層級的 SBOM。這是 CRACI 與所有資安廠商之間重疊程度最高的一家，因為兩者都會限制建置可連線的目的地。差別在於管控所在的位置。Harden-Runner 保護的是您保留的執行器，包括 GitHub 託管執行器。CRACI 的政策則來自它本身就是執行器，而且它記錄的是套件，而不只是目的地。

一覽比較

「未說明」表示我們無法在 StepSecurity 的公開頁面中確認。

StepSecurity 的強項

Harden-Runner

• 步驟層級的可視度。每個對外連線、檔案操作與程序執行，都會對應到發生的確切步驟、作業與工作流程。Enterprise 方案另外提供程序參數、檔案寫入路徑，以及透過電子郵件、Slack、Microsoft Teams 或您的 SIEM 發出的警示。
• 先稽核，再封鎖。在 egress-policy: audit 模式下，Harden-Runner 會為每個作業的正常對外呼叫建立基準，並標記任何新出現的連線。之後您可以搭配端點允許清單切換到封鎖模式。由 StepSecurity 維護的已知惡意網域全域封鎖清單，即使在稽核模式下也會套用。
• 竄改偵測。建置期間原始碼出現非預期變更時，它會發出警示。
• 廣泛的支援範圍。完整支援 GitHub 託管 Linux 執行器，在 GitHub 託管 Windows 與 macOS 上支援稽核模式；Enterprise 方案另支援自架 VM、實體伺服器與 Actions Runner Controller。StepSecurity 也列出 GitLab CI、Azure DevOps，以及 Blacksmith、Depot 與 Namespace 等第三方執行器。在自架執行器上，代理程式內建於執行器映像檔中，因此工作流程不需任何修改。
• 實績。StepSecurity 表示，Harden-Runner 偵測到了 tj-actions/changed-files 遭入侵事件（CVE-2025-30066）以及遭入侵的 axios npm 套件，並且每週保護超過 2,500 萬次工作流程執行。Community 方案的代理程式以 Apache 2.0 授權開源。

Harden-Runner 可在哪裡執行

StepSecurity 自己針對 GitHub Actions 的支援對照表（截至 2026 年 9 月）：

當整個作業在 GitHub 託管執行器上的容器中執行，或在 ubuntu-slim 上執行時，則不受支援。在 Actions Runner Controller 上，僅支援 Linux 作業。

平台的其他部分

• Actions 治理：您所使用的第三方 actions 與可重複使用工作流程的資產清冊、新 actions 的核准流程，以及 StepSecurity Maintained Actions 作為經過審查、可直接替換的版本。
• Secure Registry：新套件版本的冷卻期、封鎖已知遭入侵的版本、錯字搶註套件防護與全組織封鎖清單，筆電與 CI 共用同一套政策。
• Code Repo Security：pull request 檢查，以及 Orchestrate Security，它會開立 pull request，將 actions 釘選到 commit SHA、設定最小權限的 GITHUB_TOKEN 權限，並推行 Dependabot 設定。
• Dev Machine Guard：開發者電腦上 AI 程式設計代理、MCP 伺服器、IDE 擴充功能與套件的資產清冊。

CRACI 的不同之處

本身就是執行器，而不是其上的代理程式

在 GitHub 託管執行器上，Harden-Runner 是由您在每個作業中加入的第一個步驟安裝，能觸及的範圍取決於 GitHub 基礎設施所允許的程度。這並非產品的缺陷，而是在別人擁有的基礎設施上執行的必然結果。

CRACI 的政策是執行器的一部分。它會在作業開始前完成驗證、拒絕未知欄位，並採失效即封鎖，因此無法套用的政策不會產生未受保護的執行。執行結果仍會顯示在 GitHub 中，而移轉作業只需修改其 runs-on 標籤。

記錄套件，而不只是目的地

Harden-Runner 的允許清單是一份端點清單，其網路洞察會顯示每個步驟連線了哪些主機。CRACI 的來源則依生態系定義類型，提供 24 個內建軟體來源預設組態；針對 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、OCI 映像檔庫，以及透過 HTTPS 與 SSH 的 Git 提供自訂來源；並提供明確的 TLS、TCP、UDP 與 ICMP 規則。具備套件感知能力的代理伺服器會記錄每個作業取用了哪些套件，包括從 CI 快取還原的套件，並產生 CycloneDX 或 SPDX 格式的 SBOM，依作業與快取分別附上完整性狀態。

建置完成之後

• 來源證明資料會與 SBOM 及網路追蹤記錄一起透過 API 回傳。CRACI 不會為來源證明簽章，也不宣稱達到任何 SLSA 等級。
• 監控會在新漏洞出現時重新評估您已出貨內容的 SBOM，資安團隊則研判檢測結果，並轉交給負責修正的團隊。
• 資產清冊會在全球範圍內精確顯示哪些軟體版本部署在哪些產品上，因此新漏洞能直接對應到執行受影響版本的產品。

價格

截至 2026 年 9 月，StepSecurity 的 Community 方案對在 GitHub 託管執行器上的無限數量公開儲存庫免費。Enterprise 方案為每位貢獻開發者每月 $16（貢獻開發者是指過去 90 天內曾對受保護儲存庫有所貢獻的任何人），並包含 Dev Machine Guard 與 Secure Registry。單獨購買 Dev Machine Guard 為每台裝置每月 $8。私人儲存庫與自架執行器需要 Enterprise 方案，兩種付費方案都有 14 天免費試用，StepSecurity 也提供量販折扣。Harden-Runner 保護的是您已經付費的執行器，因此執行器分鐘數需另外計費。

CRACI 只收取建置分鐘數的費用：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計費，且無月費。由於 CRACI 本身就是執行器，這個價格同時涵蓋運算與佐證資料。最新條款請參閱CRACI 價格方案。

哪一個適合您

以下情況較適合 StepSecurity

• 您想保留 GitHub 託管執行器，包括 Windows 與 macOS。
• 您使用自架執行器、GitLab CI 或 Azure DevOps。
• 您想在封鎖任何連線之前，先以稽核模式監看流量。
• 您需要程序與檔案層級的可視度來進行資安事件應變。
• 您的開源專案在 GitHub 託管執行器上執行，需要免費的選項。

以下情況較適合 CRACI

• 您希望執行器與對外連線政策集中在同一處，且不需部署代理程式。
• 您需要每次建置的套件層級 SBOM，並附有完整性狀態。
• 您希望監控已出貨的內容。
• 您需要 CRA 佐證資料，或 CRACI Enterprise 方案提供的歐盟資料落地。

將作業移到 CRACI 會失去什麼

坦白說：CRACI 目前還沒有稽核或監控模式（已列入產品藍圖）、不監控程序或檔案寫入、目前還無法在 GitHub 託管執行器或其他 CI 系統上執行（GitLab CI 與 Jenkins 已列入產品藍圖）、套件封鎖清單仍在產品藍圖中，而且它的警示僅涵蓋政策違規，沒有 Slack、Teams 或 SIEM 整合。如果這些是您的優先事項，StepSecurity 目前就能滿足。

StepSecurity 的 Secure Registry、Code Repo Security 與 Dev Machine Guard 保護的是 CRACI 未涉及的控制點：套件的來源套件庫、您的儲存庫，以及開發者的筆電。它們不依賴執行器，因此不受您的作業在哪裡執行影響。

因應 Cyber Resilience Act

Cyber Resilience Act（CRA）要求製造商掌握產品中的元件、處理其中的漏洞並保存佐證資料。StepSecurity 專注於預防與偵測供應鏈攻擊，其執行階段洞察有助於您調查 CI 中的資安事件。CRACI 則將企業在更廣泛的 CRA 法規遵循流程中所需的軟體供應鏈可視度與佐證資料，自動化了相當大的一部分：匯出為 CycloneDX 或 SPDX 的建置時 SBOM、漏洞追蹤，以及透過 API 取得的來源證明。請參閱 CRA 佐證資料。

進一步了解CI/CD 整合與 建置時 SBOM 產生，或預約示範，看看作業如何在 CRACI 上於對外連線政策下執行。

StepSecurity 常見問題

StepSecurity 是什麼？

StepSecurity 是一個軟體供應鏈安全平台。其最知名的產品 Harden-Runner 是一個代理程式，可監控 CI/CD 執行器上的網路對外連線、檔案完整性與程序活動，並能封鎖允許清單以外的對外連線。該平台也涵蓋套件庫（Secure Registry）、程式碼儲存庫（Code Repo Security）、開發者電腦（Dev Machine Guard）與威脅情資。

StepSecurity 的價格是多少？

截至 2026 年 9 月，Community 方案對無限數量的公開儲存庫免費。Enterprise 方案為每位貢獻開發者每月 $16（貢獻開發者是指過去 90 天內曾對受保護儲存庫有所貢獻的任何人），並包含 Dev Machine Guard 與 Secure Registry。單獨購買 Dev Machine Guard 為每台裝置每月 $8。兩種付費方案都有 14 天免費試用，執行器分鐘數則另外計費。

Harden-Runner 免費嗎？

對於在 GitHub 託管執行器上的公開儲存庫是免費的。私人儲存庫與自架執行器（包括公開儲存庫使用的自架執行器）需要 Enterprise 方案。Community 方案的代理程式以 Apache 2.0 授權開源。

Harden-Runner 支援哪些執行器？

GitHub 託管 Linux 執行器支援稽核與封鎖模式，GitHub 託管 Windows 與 macOS 執行器支援稽核模式；Enterprise 方案另支援自架 VM、實體伺服器與 Actions Runner Controller。StepSecurity 也列出 GitLab CI、Azure DevOps，以及 Blacksmith、Depot 與 Namespace 等第三方執行器。當整個作業在 GitHub 託管執行器上的容器中執行，或在 ubuntu-slim 上執行時，則不受支援。

StepSecurity 與 CRACI 有什麼不同？

Harden-Runner 是您加到自己保留之執行器上的代理程式。CRACI 則是執行器本身：它的對外連線政策由執行器平台執行，在作業開始前完成驗證並採失效即封鎖（fail closed），而且每個作業還會產生附有完整性狀態的套件層級 SBOM。StepSecurity 在稽核模式、程序與檔案監控，以及執行器與 CI 的支援範圍上較為領先。

CRACI 能取代 Harden-Runner 嗎？

對於在 Linux 上執行的 GitHub Actions 作業，可以：將作業移到 CRACI，就能由執行器本身提供對外連線管控，該作業不再需要代理程式。您會失去稽核模式（已列入 CRACI 的產品藍圖）、程序與檔案監控，以及對 GitHub 託管、Windows、macOS 與非 GitHub 執行器的支援。

StepSecurity 會產生 SBOM 嗎？

Harden-Runner 記錄的是作業接觸到的目的地、程序與檔案，而不是建置的套件層級 SBOM。CRACI 記錄每個作業取用了哪些套件，包括從 CI 快取還原的套件，並匯出 CycloneDX 與 SPDX。