Semgrep

Semgrep ist eine Plattform für statische Codeanalyse und Anwendungssicherheit der Semgrep, Inc. Bekannt wurde das Projekt durch die quelloffene Engine, die heute als Semgrep Community Edition unter der LGPL 2.1 weiterlebt. Darauf baut die kommerzielle Semgrep AppSec Platform auf, die drei Produkte bündelt: Semgrep Code für SAST, Semgrep Supply Chain für Abhängigkeiten und Semgrep Secrets für geleakte Zugangsdaten.

Für das Code-Review ist Semgrep Code der Kern. Die Analyse kombiniert deterministische Regeln mit KI-Auswertung, die Semgrep als Multimodal bezeichnet. Klassische Lücken wie Cross-Site-Scripting oder SQL-Injection fallen ebenso auf wie Logikfehler und unsichere Objektzugriffe. Die KI hilft vor allem bei der Triage: Sie erkennt Fehlalarme anhand des Kontexts, und Semgrep wirbt mit 20 Prozent weniger zu prüfenden Funden ab dem ersten Tag. Entwickler erhalten Schritt-für-Schritt-Anleitungen zur Behebung direkt im Pull Request. Ein großer Pluspunkt bleiben eigene Regeln, die in einer Syntax nahe am Quellcode geschrieben werden und sich gut an interne Konventionen anpassen lassen.

Semgrep Code nennt mehr als 35 unterstützte Sprachen. Allgemein verfügbar sind unter anderem C#, Go, Java, JavaScript, TypeScript, Kotlin, Python, Ruby, Scala, Swift, Rust, PHP, C und C++ sowie Terraform. Apex ist im Beta-Status, viele weitere Sprachen wie Dart, Bash, Solidity oder Dockerfile sind experimentell. Kommentare in Pull und Merge Requests funktionieren auf GitHub Cloud und GitHub Enterprise Server, GitLab.com, GitLab Dedicated und Self-Managed, Bitbucket Cloud und Data Center sowie Azure DevOps Cloud. Funde lassen sich direkt per Kommentar triagieren, bei GitLab Free und Bitbucket Free oder Standard fehlen dafür nötige Webhooks. Für den Editor gibt es Erweiterungen für VS Code, IntelliJ und Emacs, außerdem einen pre-commit-Hook.

Beim Datenschutz ist die Architektur wichtig. Läuft Semgrep komplett im eigenen CI, bleibt der Quellcode in der eigenen Umgebung und nur Metadaten gehen an den Dienst. Managed Scans und die KI-Funktionen benötigen dagegen Zugriff auf Code. Kundendaten speichert Semgrep bei Amazon Web Services in der US-Region, eine EU-Region wird nicht genannt. Im Trust Portal verweist Semgrep auf einen SOC 2 Type II Bericht für Code, Supply Chain und Secrets.

Die Preise (Stand 11/2026) sind in US-Dollar angegeben. Die Free Edition kostet nichts, gilt für bis zu zehn Contributors und zehn private Repositories, enthält Code und Supply Chain sowie 60 KI-Credits. Im Teams-Tarif kostet Semgrep Code 30 US-Dollar pro Contributor und Monat, Supply Chain ebenfalls 30 US-Dollar und Secrets 15 US-Dollar. Teams erlaubt bis zu 500 private Repositories und 20 KI-Credits pro Entwickler und Monat. Enterprise mit unbegrenzten Repositories, Anbindung selbst gehosteter Quellcodeverwaltung, optional dedizierter Infrastruktur und eigenen KI-Modellanbietern gibt es nur auf Anfrage.

Semgrep passt zu Teams mit eigenem AppSec-Know-how, die Regeln selbst schreiben und Sicherheitsfunde direkt im Pull Request sehen wollen. Grenzen gibt es bei der Datenhaltung, da Kundendaten in den USA liegen, und bei den Kosten, weil jedes Produkt im Teams-Tarif pro Contributor einzeln berechnet wird. Eine allgemeine KI-Review für Stil und Architektur ersetzt Semgrep nicht.