Semgrep

Isaac Evans、Luke O’Malley和Drew Dennison在麻省理工学院读本科时住在Simmons Hall相邻的房间，三人都主修电气工程与计算机科学。2011年独立活动期（IAP）期间，他们承接了一个帮助美国陆军人员更安全地使用Android手机应用的项目，Dennison担任技术负责人、Evans担任首席执行官、O’Malley负责产品，这一分工后来延续到r2c。⁠[1]

三人都参加了Gordon-MIT Engineering Leadership（GEL）项目。Evans于2013年本科毕业、2015年获硕士学位，硕士论文研究高级软件安全技术；Dennison于2013年、O’Malley于2014年本科毕业，三人毕业后先在不同公司工作。⁠[1]

2016年，三人开始探索软件安全领域的创业机会；Evans和Dennison曾在Redpoint担任驻场创业者（EIR）。三人此前的工作经历涉及PalantirPalantirPalantir 是 2003 年成立的美国企业软件公司，提供 Gotham、Foundry、Palantir Apollo 和 AIP 等数据与人工智能平台，服务政府及商业机构。公司于 2020 年直接上市，现于 Nasdaq 以 PLTR 代码交易。点击查看完整词条、情报界和《财富》FORTUNEFORTUNE（《财富》）是1930年由Henry R. Luce创办的商业媒体品牌，业务包括杂志、数字新闻、企业榜单及会议。其品牌历史经历Time Inc.、Time Warner与Meredith等所有权阶段，2018年由Chatchaval Jiaravanon的个人公司收购，并发展数字订阅和地区业务。点击查看完整词条500强企业。公司以r2c之名于2017年创立，Evans任首席执行官，O’Malley任产品负责人。⁠[1][2][3]

Evans回忆，公司起初难以做出面向开发者的产品；2018年聘用的前FacebookFacebookFacebook（脸书）是 Meta 旗下的社交网络平台，2004年从哈佛校园上线，逐步发展出动态消息、照片与视频分享、群组及 Marketplace 等功能。平台保留 Facebook 名称，母公司在2021年采用 Meta 品牌；两者的用户与财务数据应按各自口径理解。点击查看完整词条工程师Yoann Padioleau指出，他在Facebook开发过一个功能相近的开源工具。该工具最初只支持PHP；在2019年的一次内部黑客松上，团队决定复活这个项目，为其增加Python等语言支持。⁠[3][1]

r2c在2020年底发布开源版本Semgrep，并围绕其所称的“canonical”（规范）分支开发按开发者人数按月订阅的SaaS服务，打包覆盖多种编程语言的安全规则。⁠[3][4]

2020年10月，r2c完成1300万美元A轮融资，由Redpoint的Satish Dharmaraj和Sequoia CapitalSequoia CapitalSequoia Capital是一家由Don Valentine于1972年创立的风险投资机构，投资范围从种子期延伸至成长阶段。其历史投资包括Apple、Cisco、Google、YouTube、Airbnb和Stripe；2021年推出可继续持有上市证券的Sequoia Capital Fund结构，2023年区域业务转为独立品牌与合伙组织。点击查看完整词条的Jim Goetz共同投资；两家机构此前也参与了公司未公开的种子轮。⁠[2][4]

2021年7月7日，r2c宣布完成2700万美元B轮融资，由FelicisFelicisFelicis（基金及早期名称为Felicis Ventures）是一家总部位于美国加利福尼亚州门洛帕克的风险投资公司，由前Google产品经理Aydin Senkut于2006年创立，投资过Shopify、Canva、Adyen等公司。点击查看完整词条领投，公司称这是一轮预先锁定的投资；Redpoint和Sequoia Capital继续参与。⁠[4]

截至2022年2月，Semgrep收录超过1500条预先编写的规则，支持超过25种编程语言；用户可以自行编写规则并贡献给数据库。大客户包括SlackSlackSlack 是面向组织的通信与协作平台，以频道、消息检索和应用集成组织工作，提供音视频沟通、文档协作及 AI 辅助功能。产品于2014年正式商业发布，其开发公司于2021年被 Salesforce 收购。点击查看完整词条、DropboxDropboxDropbox 是由 Drew Houston 与 Arash Ferdowsi 于2007年创办的美国软件公司，总部位于旧金山。其业务从跨设备文件同步扩展到云端存储、分享、协作、电子签名和 AI 工作搜索；公司参加 Y Combinator 2007年夏季批次，2008年公开推出产品，并于2018年在纳斯达克上市。点击查看完整词条和Snowflake。Log4Shell漏洞曝光后，r2c的社区Slack频道成员很快分享了多种检测变体规则。⁠[1]

O’Malley说：“If you know how to program in a language, you can now write rules and extend Semgrep”（只要会用一种语言编程，就能编写规则来扩展Semgrep）。⁠[1]

2023年4月18日，公司宣布完成5300万美元C轮融资，由Lightspeed Venture PartnersLightspeed Venture PartnersLightspeed Venture Partners支持从种子轮到后期融资阶段的企业。其官网区分Lightspeed Management Company（LSVP）与Lightspeed India Partners（LSIP）：两者是分别运营的投资顾问实体，美国、欧洲和以色列办公室属于LSVP，印度及东南亚办公室属于LSIP。点击查看完整词条领投，Felicis、Redpoint和Sequoia Capital参与，累计融资额达到9300万美元；同时公司由r2c更名为Semgrep。Evans表示公司原计划夏天才融资，但收到了预先报价。⁠[5][3]

当时，Semgrep的开源工具约有200万用户，公司的营收产品在2022年增长到原来的7.5倍。⁠[3]

2024年12月13日，Semgrep将开源引擎和规则统称为Semgrep Community Edition（社区版），并把Semgrep维护的规则改用Semgrep Rules License v.1.0，限于内部、非竞争和非SaaS场景使用，供应商须在2025年1月31日前停止在竞争产品中使用这些规则；部分JSON和SARIF输出字段及实验功能改为仅在登录后的商业引擎中提供。公司表示引擎本身仍采用LGPL 2.1许可。⁠[6]

此后，Endor Labs将Semgrep分叉为Opengrep，Aikido Security、Arnica、Jit、Orca Security等安全公司表示支持该项目。Semgrep文档称，Opengrep自Semgrep Community Edition v1.100.0分叉，同样采用LGPL 2.1许可，与Semgrep, Inc.无隶属关系。⁠[7][8]

2025年2月5日，Semgrep宣布完成1亿美元D轮融资，由Menlo VenturesMenlo VenturesMenlo Ventures是1976年创立于美国的风险投资机构，投资领域包括企业软件、消费科技、医疗、网络安全及人工智能，覆盖种子轮至成长阶段。代表性投资包括Chime、Anthropic、Roku、Uber及多家被战略买方收购的技术公司；2026年宣布通过早期与成长两类基金新增30亿美元资本。点击查看完整词条领投，既有投资方Felicis、Harpoon Ventures、Lightspeed Venture Partners、Redpoint和Sequoia Capital参与。同时，前Palo Alto NetworksPalo Alto NetworksPalo Alto Networks 是一家美国网络安全公司，提供网络防护、云安全、安全运营、身份安全和人工智能安全产品，并通过 Unit 42 提供威胁情报、评估与事件响应服务。点击查看完整词条首席执行官Mark McLaughlin以董事会观察员和天使投资人身份加入，Garrett Souza出任全球销售副总裁。⁠[9][10]

Evans在公告中介绍了结合规则引擎与大语言模型的混合引擎“Semgrep 2.0”，称其识别真阳性结果时与安全研究人员的一致率达到96%。⁠[9]

2026年6月23日，Semgrep推出Semgrep Guardian，在开发者的IDE中扫描并修复AI编码代理生成代码中的漏洞、恶意软件包和硬编码密钥，附带MCP服务器、Hooks集成和Skills；公司称其为CursorCursorCursor 是美国 AI 编程软件公司 Anysphere, Inc. 的经营名称及其同名 AI 编程工具。公司由 Michael Truell、Sualeh Asif、Arvid Lunnemark 和 Aman Sanger 共同创办，产品最初是基于 VS Code 分支开发的 AI 原生开发环境，后转向以智能体为中心的编程工具。2025年11月 D 轮融资后投后估值293亿美元；2026年8月14日，SpaceX 以600亿美元隐含股权价值的换股交易完成收购，Cursor 成为 SpaceX 全资子公司。点击查看完整词条和Claude Code的官方合作伙伴。⁠[11]

Semgrep：官网：https://semgrep.dev/（在新窗口打开）。⁠[10]

X：公开账号：https://x.com/semgrep（在新窗口打开）。⁠[10]

LinkedInLinkedInLinkedIn 是面向职场人士的社交网络平台，2002年由 Reid Hoffman 等人创立、2003年上线，2011年在纽约证券交易所上市，2016年被 Microsoft 以约262亿美元收购后成为其全资子公司，收入来自会员订阅、广告和招聘解决方案。点击查看完整词条：公开主页：https://www.linkedin.com/company/semgrep/（在新窗口打开）。⁠[10]

YouTubeYouTubeYouTube是Google旗下的视频分享与创作者平台，2005年由Steve Chen、Chad Hurley和Jawed Karim创办，2006年被Google收购。平台围绕视频上传、观看与创作者收益，发展出Shorts、YouTube Music、Premium、YouTube TV及儿童产品，总部位于美国加利福尼亚州San Bruno。点击查看完整词条：公开频道：https://www.youtube.com/c/semgrep（在新窗口打开）。⁠[10]