CRACI 與 Xygeni 比較

簡短的答案

Xygeni 是一家來自西班牙巴利亞多利德（Valladolid）的應用程式安全平台。它自稱是「一個由 AI 驅動的平台， 可端到端偵測、排定優先順序並修補漏洞與惡意軟體」。其模組涵蓋 SAST、具備 可達性分析與惡意軟體偵測的 SCA、機密、IaC、容器、CI/CD 安全、採用 SLSA 與 in-toto 證明的建置安全、異常偵測、DAST、API 安全與 ASPM 層。它公開價格，並提供免費方案。 它不執行建置：而是接入您已在使用的 CI 系統。

CRACI 從不同的位置爭取同一筆供應鏈預算。它是 GitHub Actions 的執行器：它會 記錄每個作業實際取用的套件，在作業執行時強制執行對外連線政策，並持續監控已出貨的內容。Xygeni 在 AppSec 方面的涵蓋範圍廣得多；CRACI 則在建置 及其產出上鑽研得更深。

一覽比較

「未說明」代表我們無法在 Xygeni 的公開頁面中確認該項目。

Xygeni 的優勢

• 單一平台涵蓋廣泛。具備 AI 自動修正的 SAST、具備可達性分析與自動升級 pull request 的 SCA、可自動撤銷的機密偵測、IaC 與容器映像檔掃描，以及 Enterprise 方案中的 DAST、API 安全與可匯入第三方資料的 ASPM。
• 開源中的惡意軟體。Xygeni 表示每天會分析數千個新發布與更新的開源套件， 使用機器學習輔助引擎偵測未知的惡意軟體、隔離可疑套件，並可透過相依套件防火牆 加以封鎖。這已超越單純比對 CVE。
• CI/CD 安全。它會檢查建置腳本與管線中的設定錯誤、因應 OWASP Top 10 CI/CD 風險、檢查分支保護與多因素驗證等設定，並標記 管線中的有害命令，例如反向 shell 與惡意軟體下載。
• 建置證明。Build Security 只要在管線中加入一行，就能從建置的每個階段 收集佐證資料，並產生以免金鑰簽章簽署的 SLSA 來源證明與 in-toto 證明。證明 可以攜帶漏洞掃描、SPDX 或 CycloneDX 格式的 SBOM 與測試結果，而遭竄改的建置產物可以在交付前 被封鎖。
• 異常偵測。適用於 GitHub、GitLab、Jenkins 與 Azure 的感測器，會監看對 程式碼、相依套件、管線與建置設定的未授權變更，並即時發出警示。
• 廣泛的 CI 支援與公開價格。Xygeni 列出與 GitHub、GitLab、Jenkins、 Azure Pipelines、Bitbucket、CircleCI 與 Travis CI 的整合，並在 Enterprise 方案提供地端部署。

CRACI 的不同之處

依據建置記錄，而非讀取描述檔

Xygeni 的文件指出，其分析器會處理相依套件描述檔，以擷取直接與間接 相依套件並解析其版本。這是從儲存庫建立 SBOM 的標準做法。CRACI 看到的則是 進入每次建置的流量：具備套件感知能力的代理伺服器會記錄作業取用的每一個套件，涵蓋 npm、 PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態。從 CI 快取還原的套件也會留在記錄中。

CRACI 正是以這種方式，記錄以鎖定檔（lockfile）為基礎的工具所遺漏的隱藏相依套件：npm install hook 下載的程式碼、在建置時抓取內容的 Rust 建置腳本，以及容器建置的基礎映像檔層。每份 SBOM 都會依作業與快取帶有完整性狀態（Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded），因此記錄出現缺口時，它會明確標示。

在建置執行時控管

Xygeni 的 CI/CD 檢查著眼於管線如何設定、包含哪些命令。CRACI 則限制 建置能連線到哪裡。對外連線政策可設為預設拒絕或預設允許，搭配 24 個內建的軟體來源預設組態、適用於 npm、PyPI、apt、apk、Go proxy、Nix、Cargo、OCI 套件庫與 Git 的具類型自訂來源，以及明確的 TLS、TCP、UDP 與 ICMP 規則。政策會在作業開始前驗證，並採失效即封鎖（fail closed）。由於預設拒絕政策只允許 建置所需的連線，遭入侵的套件若試圖把您的機密傳送到未知主機，就會遭到封鎖，即使是 前所未見的攻擊也一樣，而 CRACI 會就違規向您發出警示。

來源證明與監控來自同一份記錄

Xygeni 透過加入您所執行之管線的步驟來簽署證明。CRACI 的記錄則來自作業 所執行的執行器：API 會回傳 SBOM、網路追蹤記錄與來源證明。CRACI 不簽署來源證明，也不宣稱達到任何 SLSA 等級。每當有新漏洞公開，CRACI 都會持續重新評估您已出貨內容的 SBOM， 並顯示每一次含有有漏洞相依套件的過去建置，讓您知道 曝險時間有多長。

執行器是產品的一部分

由於 CRACI 本身就是執行器，佐證資料會隨運算資源一併提供：執行結果仍會顯示在 GitHub 中，而且 CRACI 執行建置的速度 約為 GitHub 託管執行器的兩倍，這得益於更快的硬體、更短的排隊時間與快取。CRACI 只收取建置分鐘數的費用：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計費，無月費，也不按 SBOM 收費。請參閱 CRACI 價格方案。

哪一個適合您

以下情況較適合 Xygeni

• 您希望用單一 AppSec 平台處理 SAST、SCA、機密、IaC、容器與管線設定。
• 您希望在資安公告出現之前，就偵測並封鎖惡意的開源套件。
• 您在 GitLab、Jenkins、Azure Pipelines、Bitbucket、CircleCI 或 Travis CI 上建置。
• 您需要 SLSA 與 in-toto 證明，或地端部署。
• 小型團隊希望從公開價格的免費方案開始。

以下情況較適合 CRACI

• 您在 GitHub Actions 上建置，並希望把執行器、對外連線政策與相依套件記錄集中在一處。
• 您需要一份記錄每次建置實際取用內容的 SBOM，並附上可以向稽核人員出示的完整性狀態。
• 您希望從同一份記錄取得已出貨內容的監控與建置歷史。

將建置佐證資料移到 CRACI 會放棄什麼

對於您在 GitHub Actions 上建置的軟體，CRACI 會接手 Xygeni SBOM 匯出的工作： 記錄、來源證明資料與監控都來自執行器。坦白說明這樣做的代價： CRACI 沒有可達性分析，不會依據行為或信譽偵測新的惡意套件（它會在附有 CVE 的資安公告發布後，標記已知的 惡意版本），不會開立升級 pull request，不簽署來源證明，不宣稱達到任何 SLSA 等級， 沒有跨原始碼控管的異常偵測，且目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。

Xygeni 的 SAST、機密、IaC 與 CI/CD 態勢檢查涵蓋了 CRACI 在設計上不涉及的範圍，因此這些可以 維持原狀。CRACI 取代的是執行器，而不是 GitHub Actions，因此掃描步驟會像其他任何步驟一樣， 在 CRACI 執行器上執行。

針對 Cyber Resilience Act

Cyber Resilience Act（CRA）是要求提供 SBOM 與 漏洞處理流程的多個框架之一。Xygeni 在其 Business 方案中列出依據 CIS 與 OpenSSF 的 軟體供應鏈合規檢查。CRACI 會自動處理 CRA 流程所需的供應鏈可視性與佐證資料中相當大的一部分： 以 CycloneDX 或 SPDX 匯出的建置時 SBOM、漏洞追蹤，以及透過 API 提供的來源證明。請參閱 CRA 佐證資料。兩種工具都無法單獨讓產品符合法規。

若想了解此領域的其他平台，請參閱 CRACI 與 Cycode 比較、 CRACI 與 OX Security 比較、 CRACI 與 Wiz 比較，以及 軟體供應鏈安全工具。

Xygeni 常見問題

什麼是 Xygeni？

Xygeni 是一家來自西班牙巴利亞多利德（Valladolid）的應用程式安全平台。它結合了自家的掃描工具（SAST、具備可達性分析與惡意軟體偵測的 SCA、機密、IaC、容器、CI/CD 安全，以及選購的 DAST 與 API 安全）與 ASPM 層，另提供採用 SLSA 與 in-toto 證明的建置安全，以及跨原始碼控管與 CI 系統的異常偵測。

Xygeni 的價格是多少？

截至 2026 年 9 月，Xygeni 的價格頁面顯示免費方案包含 SAST、SCA、機密與 IDE 外掛，最多支援 10 個儲存庫、每月 200 次掃描與 5 位貢獻者。Team 方案每年約 $3,828（€3,300）起，Business 方案每年約 $6,844（€5,900）起，皆含 10 位貢獻者；Enterprise 則需報價。貢獻者是指過去 90 天內曾對受掃描儲存庫提交 commit 的任何人。Build Security 與 Anomalies Detection 為 Enterprise 選項。

Xygeni 有提供 CI 執行器嗎？

沒有。Xygeni 會與您執行的 CI 系統整合，例如 GitHub、GitLab、Jenkins、Azure Pipelines、Bitbucket、CircleCI 與 Travis CI，並將其掃描工具與證明步驟加入您的管線。CRACI 則是執行器：GitHub Actions 作業在 CRACI 上執行，由 CRACI 記錄每個作業取用的內容，並控管它能連線到哪裡。

Xygeni 與 CRACI 有什麼不同？

Xygeni 是涵蓋範圍廣泛的 AppSec 平台，可跨多種 CI 系統掃描程式碼、相依套件、機密、IaC 與管線設定。CRACI 則是 GitHub Actions 執行器，會記錄每次建置實際取用的套件，在執行時強制執行對外連線政策，並持續監控已出貨的內容。Xygeni 的涵蓋範圍廣得多；CRACI 則記錄建置本身。

CRACI 能取代 Xygeni 嗎？

就您在 GitHub Actions 上建置之軟體的建置佐證資料而言，可以：CRACI 記錄的 SBOM、來源證明與漏洞監控足以涵蓋這項工作。CRACI 無法取代 Xygeni 的 SAST、機密、IaC、CI/CD 態勢檢查、惡意軟體偵測或可達性分析，且目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。