CRACI vs Trivy

簡短的答案

Trivy 是目前最實用的免費資安工具之一。它可掃描容器映像檔、檔案系統、儲存庫、 虛擬機器映像檔與 Kubernetes 中的漏洞、錯誤設定、機密與授權，並順帶輸出 SBOM。CRACI 則是 GitHub Actions 執行器，會記錄每次建置擷取的內容、控管建置 可連線的對象，並持續追蹤已出貨內容中的漏洞。核心差異在於：Trivy 從檔案推斷元件清單，而 CRACI 則是實際觀測。對於您所建置之軟體的 SBOM 與相依套件漏洞， CRACI 可以取代 Trivy。至於 Trivy 掃描的其他項目，請從下方清單中依工作挑選工具。

團隊為何尋找 Trivy 替代方案

• 2026 年 3 月的供應鏈入侵事件。Aqua Security 的資安公告（CVE-2026-33634）指出， 2026 年 3 月 19 日出現了惡意的 Trivy v0.69.4 版本，以及遭汙染的 trivy-action 與 setup-trivy 標籤， 隨後在 3 月 22 日又出現惡意的 Docker Hub 映像檔。植入的程式碼會從 CI 執行器竊取憑證。Aqua 公布了安全版本，並建議將 action 固定到完整的 commit SHA。
• 掃描不等於追蹤。Trivy 回報的是執行當下發現的問題。橫跨各儲存庫與各版本維護檢測結果、負責人與 狀態，並在新的資安公告出現時重新檢查已出貨的軟體，這些工作都留給了 您。
• SBOM 是從檔案推斷而來。建置前掃描會讀取 lockfile。若儲存庫沒有提交任何 lockfile， 能讀取的內容就很少，而實際安裝時解析出的版本，是在建置時才決定的。
• 重廣度而非深度。單一執行檔涵蓋多項工作。在特定領域（例如 基礎架構即程式碼或容器映像檔）需要更深入功能的團隊，通常會將該工作移交給專用工具。

您的管線下載並執行的每一個掃描工具，本身也是軟體供應鏈的一部分，並與作業的 機密在同一處執行。在 CRACI 上，由執行器記錄 SBOM，因此對於您所建置的軟體，不需要下載任何掃描步驟。 執行器的對外連線政策可以限制作業中任何步驟能連線的主機，而每個作業的網路追蹤也都會 被記錄下來。依 Aqua 建議將 action 固定到 commit SHA 的做法，在 CRACI 上同樣適用。

Trivy 替代方案：依 Trivy 為您執行的工作分類

• 您所建置之軟體的 SBOM 與相依套件漏洞：CRACI。它從建置記錄 SBOM， 持續重新評估，並將檢測結果分派給負責的團隊。
• 掃描容器映像檔與檔案系統：Grype，Anchore 推出的開源漏洞掃描工具，適用於 容器映像檔、檔案系統與 SBOM，並提供 EPSS 與 KEV 資料以排定優先順序。它可搭配 Syft 產生 SBOM。 請參閱 CRACI vs Syft and Grype。
• 基礎架構即程式碼：Checkov 可掃描 Terraform、OpenTofu、CloudFormation、Kubernetes、Helm、 Dockerfile、Bicep 與 ARM 範本，也會檢查機密與開源套件。KICS 涵蓋 Terraform、 Kubernetes、Docker、CloudFormation、Ansible、Helm、Pulumi 等。兩者皆以 Apache-2.0 授權開源。
• 機密：Gitleaks 可偵測 Git 儲存庫與檔案中的密碼、API 金鑰與權杖，以 MIT 授權開源。
• 提供修正建議的商用掃描工具：請參閱 CRACI vs Snyk 與 SCA 工具 比較。

各選項的詳細說明，以及 Grype 與 Trivy 的比較，請參閱完整的 Trivy 替代方案指南。

Trivy 的強項

Trivy 對自己的描述是「全面且用途廣泛的資安掃描工具」，這個說法相當準確。單一執行檔 就涵蓋了原本需要多個工具才能完成的工作：

• 多種目標。容器映像檔、檔案系統、遠端 Git 儲存庫、虛擬機器映像檔與 Kubernetes。
• 多種掃描器。作業系統套件與軟體相依套件、已知漏洞、基礎架構即程式碼的 錯誤設定、機密與軟體授權。
• SBOM 的輸入與輸出。trivy fs --format cyclonedx 或 --format spdx-json 可輸出 SBOM，而 trivy sbom 可掃描既有 SBOM 中的漏洞。
• 可在任何地方執行。它以 Apache-2.0 授權開源，可作為 CLI 使用，並提供 GitHub Action 與 Kubernetes operator。

CRACI 不做任何 IaC、機密或叢集掃描。若您需要檢查 Terraform 計畫、找出被提交的 權杖，或掃描非由您建置的第三方映像檔，Trivy 或上述任一工具才是正確的選擇。

2:07

CRACI 的不同之處

Trivy 讀取檔案；CRACI 觀察建置

Trivy 的文件清楚說明了它的方法：「若目標是建置前的專案（例如程式碼儲存庫）， Trivy 會分析用於建置的檔案，例如 lockfile。」對於建置後的目標（例如容器映像檔）， 它則改為讀取已安裝套件的中繼資料與二進位檔。以 Node.js 儲存庫而言，這代表 package-lock.json、yarn.lock、pnpm-lock.yaml 或 bun.lock。

這樣的設計很合理，但也有可預期的侷限。expressjs/express 5.2.1 沒有提交任何 lockfile，而 anthropics/claude-code 儲存庫完全沒有任何相依性資訊清單，因此對這兩者進行 建置前掃描時，Trivy 沒有任何內容可讀取。這是 Trivy 依文件說明的方式運作，而非故障。 實際安裝時會解析出的版本，是在建置時才決定的。

CRACI 則從另一端著手。作業以 runs-on: craci 執行，具備套件感知能力的代理伺服器會記錄 作業從 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設集中拉取的內容。 從 CI 快取還原的套件會延續其佐證資料。SBOM（CycloneDX 或 SPDX）描述的是建置 實際使用的內容，無論是否有 lockfile。

紀錄不完整時會明確標示

每個 CRACI 作業與快取都有完整度狀態：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。空白或內容稀少的 SBOM 會被如實標示，而不會看起來和相依套件很少的專案 一樣。

它控管建置

由於作業在 CRACI 上執行，CRACI 可以強制執行網路對外連線政策：預設拒絕或預設允許，內建 24 個 軟體來源預設集，在作業開始前驗證，並且失效即封鎖。對外連線控管不在 Trivy 的範圍內。API 會回傳 SBOM、網路追蹤與來源證明。 CRACI 不會簽署來源證明。若需要簽署，Trivy 的文件展示了一種雙工具流程：由 Trivy 輸出 SBOM，再由 Cosign 將其簽署為證明。

它持續監看

Trivy 只在您執行時掃描。CRACI 會彙整各次建置與各儲存庫的漏洞，並持續重新評估 受監控的 SBOM，資安團隊也可以分級研判檢測結果，並將其分派給負責修正的團隊。廠商 SBOM 會與您自己的建置一起受到監控。CRACI 的政策關卡可以封鎖建置；門檻警示已列入 產品藍圖。

部署位置的資產清冊

CRACI 的資產清冊檢視會在全球範圍內，準確顯示哪些軟體版本部署到哪些產品上。當新的 漏洞出現時，您可以直接看出哪些產品執行受影響的版本，而不必從版本說明與試算表中 拼湊答案。

從 Trivy 移轉

在 CRACI 上，對於您出貨的建置，不需要另外產生 SBOM，也不需要維護相依套件掃描。執行器會在建置執行時記錄 SBOM，而 CRACI 在建置完成後仍會持續檢查其中是否有新的漏洞。

請清楚了解 CRACI 不做的事。它不會掃描基礎架構即程式碼、Kubernetes 叢集或虛擬 機器映像檔，不會尋找機密或錯誤設定，也不會掃描非由您建置的映像檔或軟體。 門檻警示已列入產品藍圖。它目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。若 您仰賴 Trivy 處理上述任何一項， 請繼續用它來處理。

關於 Cyber Resilience Act

Cyber Resilience Act（CRA）要求製造商記錄每項產品中的元件（包括 SBOM），並處理與通報 其出貨內容中的漏洞。Trivy 能協助找出漏洞與錯誤設定並產生 SBOM，但從版本回溯到 SBOM 的佐證軌跡須由您自行建立。CRACI 會記錄每次建置的 SBOM，將其與 建置產物連結，以 CycloneDX 或 SPDX 格式匯出 SBOM，並為您預先備妥 CRA 漏洞通報的內容以供提交。它將企業在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料自動化。請參閱 什麼是 CRA 與 建置時 SBOM 產生。

CRACI vs Trivy：常見問題

免費選項、2026 年 3 月的入侵事件，以及 CRACI 能取代什麼

最好的 Trivy 替代方案是什麼？

這取決於您要取代 Trivy 的哪項工作。對於您以 GitHub Actions 建置之軟體的 SBOM 與相依套件漏洞，CRACI 會從建置記錄 SBOM 並持續追蹤。若要掃描容器映像檔，Grype 是相近的開源選擇。基礎架構即程式碼方面，Checkov 與 KICS 是開源選項。機密掃描則可使用 Gitleaks。沒有任何單一工具能取代 Trivy 的全部功能。

有免費的 Trivy 替代方案嗎？

有。Grype（映像檔、檔案系統與 SBOM）、Checkov 與 KICS（基礎架構即程式碼）皆以 Apache-2.0 授權開源，Gitleaks（機密）則以 MIT 授權開源。CRACI 是付費產品，按建置分鐘數計費，無月費。

在 2026 年 3 月的入侵事件之後，Trivy 還能安全使用嗎？

Aqua Security 的資安公告（CVE-2026-33634）指出，2026 年 3 月 19 日出現了惡意的 Trivy v0.69.4 版本，以及遭汙染的 trivy-action 與 setup-trivy 標籤，3 月 22 日則出現惡意的 Docker Hub 映像檔。Aqua 列出了安全版本，並建議輪替可能外洩的機密，以及將 GitHub Actions 固定到完整的 commit SHA。請查閱該公告，確認您所使用的版本。

Trivy 與 Grype 有什麼不同？

兩者都是以 Apache-2.0 授權的開源掃描工具。Grype 專注於容器映像檔、檔案系統與 SBOM 中的漏洞，並搭配 Syft 產生 SBOM。Trivy 則在單一執行檔中涵蓋更多目標與掃描器，包括基礎架構即程式碼、機密、授權、虛擬機器映像檔與 Kubernetes。

CRACI 可以取代 Trivy 嗎？

對於您在 GitHub Actions 上建置之軟體的 SBOM 與相依套件漏洞，可以：CRACI 會在建置執行時記錄 SBOM，並持續依漏洞資料重新評估。CRACI 不會掃描基礎架構即程式碼、Kubernetes 叢集、虛擬機器映像檔、機密、錯誤設定，或非由您建置的映像檔。這些項目請繼續使用 Trivy 或其他掃描工具。

CRACI 會掃描 Terraform 或其他基礎架構即程式碼嗎？

不會。CRACI 記錄您的建置擷取了哪些內容，並追蹤您出貨內容中的漏洞。若要掃描 Terraform 與其他基礎架構即程式碼，請使用 Trivy 的錯誤設定掃描器，或 Checkov、KICS 等專用工具。