Semgrep è uno strumento di analisi statica che esegue la scansione del codice sorgente abbinando pattern di codice, un po' come un motore di ricerca attento alla sicurezza per gli sviluppatori. Può essere eseguito su molti linguaggi ed è spesso usato come parte del SAST, o Static Application Security Testing, per individuare codice rischioso prima che venga distribuito.
Nei programmi di sicurezza, Semgrep è importante perché aiuta i team a scrivere le proprie regole per i pattern che contano di più, come l'uso di funzioni non sicure, la gestione insicura degli input o le violazioni delle policy nei framework interni. Nelle difese reali, ciò significa meno punti ciechi rispetto a uno scanner generico. Negli attacchi reali, la stessa idea è utile al contrario: i difensori possono creare regole per rilevare modifiche sospette al codice, segreti hardcoded o costrutti propensi allo sfruttamento durante la revisione. Il suo valore dipende dalla qualità delle regole, perché regole deboli generano falsi positivi rumorosi e riducono la fiducia nello scanner.