CRACI 與 Wiz 比較

簡短的答案

Wiz 是雲端安全平台，自 2026 年 3 月 11 日起成為 Google 的一部分。Wiz Code 是其程式碼安全產品： 它掃描程式碼、相依套件、機密與 IaC，檢查版本控制與 CI/CD 設定，並將發現與程式碼最終執行所在的雲端資源連結起來。 2026 年 4 月，Wiz 將 Wiz Code 延伸到 GitHub Actions：它現在會解析工作流程檔案，在 Security Graph 上為工作流程、 作業與執行器建模，並標示有風險的觸發條件、權限、第三方 action 與 AI 代理設定。

這是設定分析：告訴您哪些工作流程可能遭到濫用。CRACI 則在更底下一層運作。它是 GitHub Actions 的執行器， 因此會記錄每個作業實際拉取的套件、在作業執行時強制執行對外連線（egress）政策，並持續監控已交付的內容。Wiz 涵蓋的範圍廣得多，從程式碼到雲端；CRACI 涵蓋的是建置內部發生的事。

重點比較

「未說明」表示我們無法在 Wiz 的公開頁面中確認。

Wiz 的強項

從程式碼到雲端

• 雲端情境。Wiz 的核心是涵蓋 AWS、Azure、Google Cloud 與 Oracle Cloud 的雲端安全。它以無代理方式 掃描 VM、容器與 serverless 函式，並以 Security Graph 的情境為漏洞排序：網路曝險、身分、資料敏感度與攻擊路徑。
• 程式碼到雲端的對應。Wiz Code 會將在雲端發現的風險追溯回產生它的原始碼，並在該程式碼中建議修正。 對已在使用 Wiz 的團隊來說，程式碼的發現會落在與其他一切相同的圖譜中。
• 集中掃描。針對直接與遞移相依套件的 SCA 與 SBOM；依據 1,000 多條規則對 Terraform、CloudFormation、 Azure Resource Manager、Kubernetes 與 Docker 進行 IaC 掃描；掃描程式碼、IaC 範本與容器映像檔中的機密； 掃描 PII 與 PHI 等敏感資料；並對程式碼庫進行惡意軟體掃描，「在它到達您的 CI 執行器之前」。Wiz SAST 與第三方掃描工具的發現則讓全貌更完整。

GitHub Actions 與 CI/CD 安全態勢

• 圖譜上的工作流程。Wiz 會解析 GitHub Actions 工作流程 YAML，為工作流程、作業、執行器及其關係建模， 讓管線成為可查詢的資產，並附上觸發條件與可存取範圍等情境。
• 有風險的設定。它會標示 pull_request_target 等危險觸發條件，分析工作流程檔案中宣告的權限， 並針對有風險或過度的權限提出問題，找出管線定義中有風險的輸入與潛在的機密外洩，將每個工作流程使用的第三方 action 納入清冊，並標示工作流程中容易遭受提示詞注入的 AI 代理。
• 基準。Wiz Code 會依據 OpenSSF Best Practices、OWASP Top 10 CI/CD Risks，以及 GitHub 與 GitLab 的 CIS 基準，檢查版本控制與 CI/CD 系統的設定錯誤與不安全的預設值。
• 威脅偵測。Wiz 會匯入版本控制與 CI/CD 平台的稽核日誌，以捕捉可疑的 clone 或分支保護規則遭刪除等事件； 其部署在自架 CI 執行器上的 Sensor 可偵測可疑活動，例如執行器連線到加密貨幣挖礦網域。

CRACI 的不同之處

在作業內強制執行，而不只是提出發現

Wiz 的公告描述的是清冊、分析與發現，並未說明如何管控作業在執行時能連線到哪裡。CRACI 的對外連線政策是執行器的一部分。 政策可設為預設拒絕或預設允許，提供 24 個內建軟體來源預設集、針對 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、 OCI registry 與 Git 的具型別自訂來源，以及明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前驗證，並採失效即封鎖（fail closed），違規時 CRACI 會向您發出警示。

這很重要，因為供應鏈攻擊就是在看似設定正確的作業中執行。Wiz 自己對 Shai-Hulud 第二波的研究發現，大多數感染都發生在 CI/CD 管線中。安全態勢的發現可以告訴您某個工作流程有曝險，卻無法阻止已在執行的遭入侵套件。採用預設拒絕政策時， 連往建置不需要之主機的連線就會遭到封鎖，即使是前所未見的攻擊也一樣。

建置實際取得的內容，而非程式碼宣告的內容

Wiz Code 的 SCA 掃描您程式碼中的相依套件，其無代理 SBOM 描述的是雲端工作負載。CRACI 看到的是進入每次建置的流量： 具套件感知能力的代理伺服器會記錄作業從 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源， 以及下載預設集取得的每個套件，包括從 CI 快取還原的套件。CRACI 正是以此記錄以鎖定檔為基礎的工具所遺漏的隱藏相依套件， 例如 npm install hook 下載的程式碼，或容器建置的基底映像檔層。工作流程執行過的 GitHub Actions 也會列在 SBOM 中， 並固定到實際使用的 commit。每份 SBOM 都附有每個作業與每個快取的完整度狀態，因此當紀錄有缺口時，它會明確標示。

來自建置的佐證資料

API 會傳回 SBOM、網路追蹤與來源證明。CRACI 不會為來源證明簽章，也不宣稱任何 SLSA 等級。 在新漏洞公布時，CRACI 會持續重新評估您已交付內容的 SBOM，並顯示每一次包含有漏洞相依套件的過去建置， 讓您知道曝險持續了多久。

Wiz 領先之處

坦白說：CRACI 沒有 SAST、機密、IaC 或惡意軟體掃描，沒有 CI/CD 安全態勢檢查，沒有執行器上的程序監控， 沒有雲端安全，也沒有程式碼到雲端的對應。它目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。 如果您的首要需求是從程式碼到雲端的單一風險視圖，Wiz 涵蓋的範圍廣得多。

哪一個適合您

以下情況較適合 Wiz

• 您已在使用 Wiz 進行雲端安全，並希望程式碼與管線風險落在同一個圖譜中。
• 您想在眾多儲存庫中找出有風險的工作流程觸發條件、權限與第三方 action。
• 您需要 SAST、機密、IaC 與惡意軟體掃描，並以雲端情境排定優先順序。
• 您使用自架執行器，並希望在其上進行威脅偵測。

以下情況較適合 CRACI

• 您希望在每個 GitHub Actions 作業內強制執行對外連線政策，而不只是取得關於工作流程的發現。
• 您需要每次建置實際取得內容的 SBOM，並附上可向稽核人員出示的完整度狀態。
• 您希望已交付內容的監控與建置歷史出自同一份紀錄。

兩者並用

Wiz Code 的安全態勢檢查、程式碼掃描與雲端安全涵蓋了 CRACI 在設計上不涉及的範圍，因此它們維持不變。CRACI 取代的是執行器， 而不是 GitHub Actions：您的工作流程與儲存庫仍留在 GitHub 中，因此在作業於 CRACI 上執行的同時，Wiz 仍會持續分析相同的工作流程檔案。 憑藉更快的硬體、更短的排隊時間與快取，CRACI 的建置速度約為 GitHub 託管執行器的兩倍，而且只收取建置分鐘數費用。請參閱 CRACI 價格方案。

因應 Cyber Resilience Act

Cyber Resilience Act（CRA）是要求提供 SBOM 與漏洞處理流程的眾多框架之一。CRACI 將 CRA 流程所需的相當大一部分供應鏈可視性與佐證資料自動化：以 CycloneDX 或 SPDX 匯出的建置時 SBOM、漏洞追蹤，以及透過 API 取得的來源證明。請參閱 CRA 佐證資料。兩者都無法單獨讓產品符合法規。

此領域的其他平台，請參閱 CRACI 與 OX Security 比較、 CRACI 與 StepSecurity 比較、 CRACI 與 Xygeni 比較，以及 軟體供應鏈安全工具。

Wiz 常見問題

什麼是 Wiz Code？

Wiz Code 是 Wiz 雲端安全平台中的程式碼安全部分。它會掃描程式碼中有漏洞的相依套件、機密、IaC 設定錯誤、敏感資料與惡意軟體，加入 SAST 與第三方掃描工具的發現，依據基準檢查版本控制與 CI/CD 設定，並將雲端風險追溯回造成問題的原始碼。

Wiz Code 能保護 GitHub Actions 嗎？

Wiz Code 會分析 GitHub Actions 的設定。自 2026 年 4 月起，它會解析工作流程 YAML 檔案，並在 Wiz Security Graph 上為工作流程、作業、執行器及其關係建模，標示 pull_request_target 等危險觸發條件、針對有風險或過度的權限提出問題、將第三方 action 納入清冊，並標示有風險的 AI 代理設定。Wiz 的公告並未說明如何管控作業在執行時能連線到哪裡。CRACI 本身就是執行器，因此會在每個作業內強制執行對外連線（egress）政策。

Wiz 屬於 Google 嗎？

是的。Google 已於 2026 年 3 月 11 日完成對 Wiz 的收購。Wiz 表示，它仍是涵蓋 AWS、Azure、Google Cloud 與 Oracle Cloud 的多雲平台。

Wiz 的價格是多少？

Wiz 未公布牌價。截至 2026 年 9 月，其價格頁面介紹的是整合方案與單項選購選項，需索取報價。CRACI 只收取建置分鐘數費用：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計量，沒有月費。

CRACI 能取代 Wiz Code 嗎？

無法整體取代。CRACI 沒有 SAST、機密、IaC 或惡意軟體掃描，沒有 CI/CD 安全態勢檢查，也沒有雲端安全功能。對於 GitHub Actions 建置，CRACI 補上設定分析做不到的部分：它本身就是執行器，因此會記錄每個作業取得的套件，並在作業執行時強制執行對外連線政策。