每次建置的 SBOM 匯出與 CRA 佐證資料
建置期間記錄的 SBOM、透過 API 取得的建置紀錄，以及直到修正版本的漏洞紀錄：這些正是您技術文件所依據的佐證資料
CycloneDX 或 SPDX 格式的建置時 SBOM
CRACI 在每次建置於執行器上執行時記錄 SBOM，因此其中列出的是作業實際拉取的套件，包括從 CI 快取還原的套件。每份 SBOM 都能匯出為 CycloneDX 或 SPDX，並包含遞移相依套件、在其元件中發現的漏洞，以及每個元件宣告的授權。每個作業的 SBOM 也會附上完整度狀態。
透過 API 取得 SBOM、網路追蹤與來源證明
公開的 REST API 會傳回作業的 SBOM、網路追蹤與來源證明（provenance）資料，讓建置紀錄能匯入您自己的文件與工具。SBOM API 會傳回 CycloneDX 1.7 JSON。
從分級研判到修正版本的漏洞紀錄
受監控的 SBOM 會在新漏洞公布時重新評估。資安團隊對每項發現進行分級研判，並交給負責修正的團隊，CRACI 則會保留紀錄直到修正版本發布。建置歷史會顯示每一次過去的建置及其 SBOM，以及哪些建置包含有漏洞的相依套件（無論直接或遞移），讓您掌握曝險期間。
以政策關卡擋下已知問題
政策關卡可依據發現結果（包括含有特定 CVE 的建置）與授權，即時停止建置。每次建置也都在對外連線（egress）政策下執行，該政策在執行器端強制執行、於作業開始前驗證，並採失效即封鎖（fail closed），違反政策時會發出警示。
CRA 技術文件所需的佐證資料
依據 Cyber Resilience Act（CRA），製造商須準備技術文件、執行符合性評鑑，並擬定 EU 符合性聲明。CRACI 不負責這些步驟，而是提供建置過程產生的佐證資料：SBOM、漏洞與修補紀錄，以及來源證明資料。CRACI 也會為您準備 CRA 漏洞通報的內容，供您提交：早期預警、通報與最終報告。