最近一轮融资 01
$100M Series D [CO005] 尽调报告
Semgrep
月度尽调更新报告 — 2026 年 9 月
Semgrep 仍是有差异化的开发者原生 AppSec 平台，客户与产品信号扎实；但财务不透明，开源许可争议再起，竞争压力也在，投资判断仍需继续研究。
覆盖范围与披露说明
本次更新确认了 Semgrep 的产品动能、Series D 融资以及当前定价与发布态势，但仍缺少公开 ARR、NRR、burn 以及经审计估值。员工人数为外部预估，应视为方向性参考而非精确数字。
封面要素
公司概况
Semgrep 是一家总部位于旧金山的应用安全公司，Isaac Evans、Drew Dennison 与 Luke O'Malley 于 2017 年创立。公司从开源静态分析引擎起步，如今销售更完整的 AppSec 平台，覆盖 Code、Supply Chain、Secrets、Assistant 与 Guardian。其商业模式以 open-core 为基础：免费版本负责获客，付费层级再提供治理、跨文件分析和 AI 辅助修复，并按贡献者计费。
- 成立时间
- 2017-01-01
- 创始人
- Isaac Evans, Drew Dennison, Luke O'Malley
- 创立地点
- San Francisco, CA
- 总部
- San Francisco, CA
- 产品
- 具备 SAST、SCA、密钥扫描、AI 分流与 Agent 安全防护栏的 open-core 应用安全平台。
- 客户
- 希望在 CI、PR、IDE 与 AI 编码工作流中引入安全扫描的高研发密度软件团队。
- 商业模式
- 采用 PLG open-core 模式，以免费的 Community Edition 获客，再向团队与企业销售按贡献者计费的付费层级。
- 阶段
- Series D
- 融资情况
- 2025 年 2 月完成由 Menlo Ventures 领投的 $100M Series D 融资；累计融资 $204M。
执行摘要
主要优势
- 扫描快、贴合开发者工作流，open-core 模式也带来有效分发
- 平台能力持续拓宽，覆盖 Code、Supply Chain、Secrets、Assistant 与 Guardian
- 企业级客户标杆与客户背书公开可见
- 融资规模可观，背后有实力较强的风投机构支持
- 契合当前开发者工具趋势的 AI / 智能体安全叙事
主要风险
- 开源协议变更引发的反弹与 OpenGrep 分叉风险
- 来自 GitHub 原生安全能力与更广泛 AppSec 套件的竞争
- ARR、NRR、burn 和现金跑道均未公开
- 估值仍主要依据间接信号，缺少经审计的数据支撑
- 客户留存与转化质量尚未量化
未决问题
- 当前 ARR、收入运行率及增长率
- NRR / 留存率与毛利率
- 现金烧钱速度与现金跑道
- 经审计或董事会批准的估值
- 当前客户数与净扩张证据
目录
01公司概览
1.1 机构定位、起源与产品形态
Semgrep 总部位于旧金山，Isaac Evans、Drew Dennison 与 Luke O'Malley 于 2017 年创立。公司从开源静态分析引擎起步，后来将业务拓展为涵盖 SAST、SCA 和密钥扫描的商业 AppSec 平台。Semgrep 明确把产品定位给开发者：平台服务于构建者和 Agent，而不只是 AppSec 专家；卖点是扫描快、噪声低，并能直接融入工作流。 开源仍是 Semgrep 获客的关键。免费的 Community Edition 打开分发入口，商业平台再叠加跨文件分析、AI 分流、策略控制和报告功能。代码、供应链与密钥检测共用同一核心引擎，产品线因此有统一架构，而不是几款松散工具的拼凑。 Semgrep 的产品已不止于传统的 PR 检查扫描器。2026 年推出的 Guardian 面向 AI 编写的代码，作为 Agent 安全层，与自主修复和实时防护栏共同构成更广泛的平台叙事。 [CO001, CO002, CO003, CO010, CO011]
| 指标 | 数值 | 截至时间 | 置信度 | 说明 |
|---|---|---|---|---|
| 成立时间 | 2017 | 2017 | 高 | |
| 总部地点 | San Francisco, CA | 2026-09 | 高 | |
| 最近公开融资 | $100M Series D | 2025-02 | 高 | 公司官方公告 |
| 累计融资 | $204M | 2025-02 | 高 | 公司官方公告 |
| 员工人数 | 266 | 2026-08-26 | 中 | Tracxn 时点估算 |
| 定价门槛 | 10 名贡献者以内免费；Teams 层级起售价 $30/贡献者/月 | 2026-09 | 高 | |
| 客户数 | 未公开披露 | 2026-09 | 中 | |
| 披露特征 | 非上市未披露 | 2026-09 | 高 |
员工数为外部估算，数据可能滞后；客户数和 ARR 均未公开披露。
[CO001, CO004, CO005, CO007, CO009, CO012]| 日期 | 里程碑 | 战略意义 |
|---|---|---|
| 2017 | Semgrep 于旧金山成立 | 公司创立 |
| 2020 | 开源引擎进入主流应用阶段 | 强化社区切入优势 |
| 2023 | Series C 融资完成 | 支撑平台规模化扩张的资本 |
| 2025 | Series D 融资完成 | 用于 AI 与 GTM 拓展的资本 |
| 2026 | Guardian 发布 | 卡位 Agent 代码安全 |
| 2026 | 员工数估算达到 266 人 | 具备规模化未上市公司体量 |
上述里程碑是依据官方及第三方最新更新资料整理的精简事实时间线。
[CO001, CO005, CO007, CO010, CO013]Semgrep 的公开业务规模与商业化指标。
员工人数源自第三方预估，定价来自公开挂牌价。
[CO003, CO004, CO005, CO007]1.2 资本、规模与商业化进展
Semgrep 已有足够资本支持企业级拓展。公司于 2025 年 2 月宣布完成由 Menlo Ventures 领投的 $100M Series D，累计融资达到 $204M。TechCrunch 此前报道，公司于 2023 年完成 $53M Series C；当时公司规模小得多，创收产品增长很快，但绝对收入仍未披露。投资方仍是典型的安全基础设施风投阵容：机构投资者参与多轮，公司也仍为非上市企业。 更新资料中的 Tracxn 最新公开数据估计，截至 2026 年 8 月下旬 Semgrep 有 266 名员工。这个规模与其从开源项目成长为平台厂商的路径相符，但只是方向性信号。公司继续按贡献者定价，提供免费层级；Teams 起价为每位贡献者每月 $30。 客户信号扎实，但仍不完整。Semgrep 公开列出 Dropbox、Figma、Slack、Snowflake 与 Notion 等客户，却没有公布客户数或经审计的收入指标。这说明产品已有实际采用，但财务透明度仍有限。 [CO004, CO005, CO006, CO007, CO008, CO009]
1.3 本次更新增量与未决缺口
2026 年更新最有价值的部分，是捕捉公司近期变化：Guardian 已成为 Agent 代码安全的主打叙事，定价页面也逐渐明确为 Free / Teams / Enterprise 三档。尽调中的主要缺口却没有变化：Semgrep 仍未披露当前 ARR、NRR、burn 或经外部验证的估值。 这些数据之所以重要，是因为 Semgrep 已走到不能只凭产品质量判断投资价值的阶段。业务已有实际市场采用，但现有公开证据不足以评估增长效率，也算不出类似公开市场公司的精确估值倍数。现阶段更适合把它看作产品证据扎实、财务信息仍不完整的优质非上市软件公司。 [CO004, CO009, CO010, CO012]
02市场分析
2.1 问题定义与市场拉动
Semgrep 面对的需求很直接：组织写出的代码越来越多，AI Agent 也参与其中；安全团队希望提高发现信噪比，减轻审查负担。Semgrep 的产品页面和 Guardian 发布都把这一变化放在核心位置：构建者和 Agent 需要在日常工作流中直接获得安全防护。独立评测也指出，团队看重扫描速度、可执行的发现结果，以及产品与 PR、IDE、CI 工作流的适配度。 采购仍由开发者体验驱动。免费 Community Edition 和低门槛定价让产品能自下而上扩散；当团队需要跨文件分析、团队治理和更全面的策略控制时，再升级到商业平台。因此，Semgrep 比的不只是检测质量，也包括获客方式，以及能否从个人使用扩展到全组织部署。 AI 编写的代码扩大了市场规模并提升了紧迫性，但同时也提高了竞争门槛。工具如今不仅要对文本进行模式匹配，还需要理解上下文，并跟上由人类与 Agent 共同产生的大量新增代码步伐。 [CM001, CM002, CM003, CM004]
| 驱动力 | 对 Semgrep 的影响 | 证据 |
|---|---|---|
| AI 生成代码 | 待扫描代码激增且需要更多安全防护栏 | Guardian 发布与官方产品宣传 |
| 开发者阻力 | 降噪成为核心采购决策标准 | Semgrep Assistant / AI 分流宣传口径 |
| 自下而上普及 | 免费层级支撑产品驱动增长（PLG） | 定价页面 |
| 原生嵌入工作流的安全 | PR / IDE / CI 集成能力至关重要 | 官方文档及评测比对资料 |
本表属于定性市场结构分析，而非量化 TAM 模型。
[CM001, CM002, CM005, CM006]与 Semgrep 2026 年市场定位最密切的更新后市场信号。
市场快照汇总方向性证据，并非量化 TAM 模型。
[CM001, CM002, CM004, CM005, CM006, CM007, CM009, CM010, CM011, CM012]2.2 客群细分、定价与 GTM 架构
Semgrep 的客群划分很清楚。免费 Community Edition 面向独立开发者、安全审计人员，以及愿意接受一定误报、换取速度和控制力的小团队。商业平台则服务需要跨文件分析、AI 分流、工作流路由和管理员控制的团队。定价也对应这套分层：前 10 位贡献者免费，之后的付费套餐按贡献者计费。 这形成了典型的 PLG 漏斗，也为客户升级到企业版留出了空间。独立定价和采购路径资料显示，Team 层级通常需要议价，公开标价只是起点。Semgrep 实际上是把客户从“够用”的免费扫描，带向组织级安全运营。因此，它既参与“好用的开发者工具”市场，也进入更高端的“运营型 AppSec 平台”市场。 因此，评价 Semgrep 不该只把它当作扫描器厂商，更要看它能否成为代码安全工作流的底层平台。这扩大了潜在买家范围，也让它更直接地面对综合平台的竞争。 [CM005, CM006, CM007, CM008]
2.3 应用信号与市场制约
公开采用信号依然较强。Semgrep 官网列出了一批知名客户，第三方数据库也显示中型企业和大型组织在使用该产品。信号不只来自品牌名单：产品还进入 CI/CD、IDE 和 AI 辅助编码工作流，而大量代码扫描决策正发生在这些环节。 制约因素在于该赛道十分拥挤。买家可在 Semgrep、更广泛的企业级 AppSec 套件、开源分支以及侧重漏洞广度、代码质量或 AI 辅助修复的相邻工具之间进行选择。因此 Semgrep 必须同时证明两点：既要足够轻快以赢得开发者青睐，又要足够深入以证明付费价值。当前的市场叙事支撑了这一主张，但这并不代表其地位不受挑战。 [CM009, CM010, CM011, CM012]
03竞争格局
3.1 直接竞争阵营
Semgrep 面对的直接竞争并不限于 SAST。主要比较对象包括 Snyk Code、Checkmarx、Veracode、SonarQube、DeepSource，以及 GitHub CodeQL / GHAS。独立评测也将 OpenGrep 视为最直接的开源分支风险，尤其对那些想要类似 Semgrep 的扫描体验、又不愿受 Community Edition 商业限制的团队而言。 关键差异不只在功能广度。买家若看重扫描快、规则写法贴近代码，还希望先免费试用、再逐步扩展到平台治理，Semgrep 便能胜出。而竞品获胜的场景通常是提供更广泛的平台捆绑包、更贴合企业采购要求，或是具备更紧密的 GitHub 原生分发渠道。因此，该赛道存在大量替代品，但真正与 Semgrep 特定产品模式直接对应的同类竞品并不多。 [CP001, CP002, CP003, CP004]
| 竞品 | 买家横向比对动因 | Semgrep 的相对优势 |
|---|---|---|
| Snyk Code | 具备广泛平台捆绑能力的开发者安全套件 | Semgrep 上手应用更快且更易于自定义 |
| Checkmarx / Veracode | 企业级 AppSec 功能广度与治理能力 | Semgrep 更具开发者原生属性并基于 open-core |
| SonarQube | 代码质量与安全合二为一的平台 | Semgrep 的安全防护栏针对性更强 |
| GitHub GHAS / CodeQL | 针对 GitHub 用户的 GitHub 原生扫描能力 | Semgrep 更轻量且更容易编写自定义规则 |
| OpenGrep | 保留开源工作流的分支 | Semgrep 仍具备更健全的商业化平台 |
该竞品集具有方向性，基于公开对比资料整理，非正式的市场份额研究。
[CP001, CP002, CP003, CP004, CP009, CP010, CP011, CP012]3.2 Semgrep 的差异化优势
Semgrep 的差异化来自三点：规则写法贴近代码、扫描快，且商业化没有放弃开源获客入口。付费平台增加跨文件分析、AI 分流和工作流控制，能力明显强于免费的 Community Edition。相比单纯扩大扫描器覆盖面，这套组合更有说服力，也让 Semgrep 能同时声称自己开放且具备企业级能力。 Guardian 将 Semgrep 带入 AI Agent 安全领域，进一步拓宽了产品叙事。这个市场仍处早期，并非所有竞品都能匹配它的定位或工作流入口；但此举也让 Semgrep 更直接地面对原生 AI 安全产品和综合 AppSec 套件的比较。因此，买家若看重开发者体验和逐步扩展，而非一次性采购大平台，Semgrep 的优势就更突出。 [CP005, CP006, CP007, CP008]
3.3 竞争风险
最大的风险在于，已使用 GitHub 的买家可能会选择 GitHub 原生安全工具，以避免引入新供应商。次要风险是 OpenGrep 充分复刻了免费 Semgrep 的体验，从而削弱 Community Edition 的转化漏斗。第三项风险在于综合套件可能捆绑足够多的周边功能，让买家把 Semgrep 看成单一工具，而非平台。 Semgrep 的防线在于执行，而非独一无二。它必须继续保持扫描快、结果可行动，开发者体验也要胜过替代品。只要噪声、易用性或定价失守，买家就有足够多的替代工具可选，切换并不难。 [CP009, CP010, CP011, CP012]
| 风险类别 | 潜在发生情景 | 潜在负面影响 |
|---|---|---|
| GitHub 原生替代 | 研发团队继续停留在 GHAS/CodeQL | 削弱 Semgrep 在 GitHub 重度用户中的切入优势 |
| OpenGrep 侵蚀转化漏斗 | 免费用户向开源分支迁移 | 削弱从开源社区向付费客户的转化率 |
| 平台打包捆绑销售 | 大而全的套件在采购竞标中胜出 | 凸显 Semgrep 的功能范围较窄 |
| 定价压力 | 买家加大议价力度或降级至更低档位 | 压缩 ARPU |
上述情景属于竞争推演，并非已确认的现实结果。
[CP009, CP010, CP011, CP012]2026 年最直接影响 Semgrep 护城河的竞争信号。
本快照汇总方向性对比证据与竞争风险。
[CP001, CP005, CP006, CP007, CP009, CP010, CP011, CP012]04财务状况
4.1 融资历程与资本背景
Semgrep 的融资脉络清楚：公司于 2025 年 2 月宣布完成 Menlo Ventures 领投的 $100M Series D，累计融资 $204M。TechCrunch 此前报道，公司在 2023 年完成 $53M Series C；当时规模小得多，创收产品增长很快，但具体收入没有公开。Crunchbase News 和 Yahoo Finance 也都将这笔 Series D 报道为私募市场中重要的安全软件融资。 投资方仍是常见的企业软件机构组合：Menlo、Lightspeed、Redpoint、Sequoia、Felicis 和 Harpoon。只要业务持续复合增长，这批投资人就有能力支持公司维持较长的非上市发展周期。尽调的关键不是公司能否继续融资，而是当前运营效率能否支撑下一阶段的估值提升。 [CI001, CI002, CI003, CI004]
| 日期 | 轮次 | 金额 | 领投方 | 带来的核心变化 |
|---|---|---|---|---|
| 2023-04 | Series C | $53M | Lightspeed | 拓展平台功能并招募 AI 人才 |
| 2025-02 | Series D | $100M | Menlo Ventures | 加速 AI 创新与 GTM 业务拓展 |
| 2025-02 | 累计融资 | $204M | N/A | 奠定下一阶段发展的资本基础 |
各轮次融资金额源自官方公告或广泛引用的公开报道；公司未公布详细的股权结构表（cap table）。
[CI001, CI002, CI003, CI004]2026 年更新中 Semgrep 现存的公开财务信号。
估值标签属于二级市场快照，ARR 项属明确未披露信息。
[CI001, CI002, CI003, CI005, CI007, CI009, CI012]4.2 收入、利润率与资金消耗不透明度
Semgrep 仍为非上市公司，没有公布 ARR、收入运行率、毛利率、NRR 或现金消耗（burn）。风投支持的软件公司不公开这些数据并不少见，但对尽调仍是明显障碍：以 Semgrep 当前的规模，公司内部理应掌握这些指标，它们也应成为下一轮融资讨论的依据。缺少这些数据时，公开层面最有用的判断依据仍是产品表现和融资记录。 Tracxn 截至 2026 年 8 月下旬给出的最新员工数预估为 266 人，显示公司已脱离初创期规模。这使得关键经营指标的缺席不仅没有弱化，反而愈发显眼。在此阶段，投资者关注的重心不再只是公司能否扩张，而是这种扩张的真实质量。 [CI005, CI006, CI007, CI008]
4.3 估值与资本市场视角
Semgrep 并未披露官方估值，但 Forge 二级市场页面所展示的隐含估值远高于单看名义融资金额推算出的数字。这适合作为方向性参考，不能视作正式盯市估值。在未上市环境下，真正的问题是经营表现能否支撑相对于融资额的溢价倍数。 当前判断是：产品质量很可能过关，但财务质量尚未充分验证。Semgrep 的平台成熟，企业买家逻辑可信，也已有可见的客户采用；但估值仍取决于管理层确认过的增长效率和留存表现。数据公布前，只能给出估值区间，不能给出精确点位。 [CI009, CI010, CI011, CI012]
05产品与技术
5.1 平台技术栈与产品模块
Semgrep 的平台已不只是单一扫描器，而是一套分层安全系统。免费 Community Edition 帮助产品触达开发者，商业平台再叠加 Semgrep Code、Supply Chain、Secrets 和 AI 能力。官网与文档明确表示，商业产品要贯通整个 SDLC 的扫描、分流和修复，而不只是输出扫描结果。 各层各有分工：Code 做 SAST，Supply Chain 判断依赖项是否可达，Secrets 查找凭据泄露，AI 能力则帮助降噪和修复。Guardian 把这套防护延伸到 AI 辅助编码工作流，让安全检查在代码生成时就能介入。 [CE001, CE002, CE003, CE004]
| 模块 | 功能 | 核心价值 |
|---|---|---|
| Community Edition | 免费开源扫描 | 获客切入点与开发者认知度 |
| Semgrep Code | 支持跨文件分析的商业化 SAST | 检出信噪比更高 |
| Supply Chain | 具备可达性分析的 SCA | 集中精力排查可被利用的依赖项 |
| Secrets | 凭证检测与有效性验证 | 减少密钥泄露 |
| Assistant / AI | 分诊与修复辅助 | 缩短人工审查用时 |
| Guardian | 针对 AI 生成代码的实时护栏 | 将产品延伸至 Agent 驱动的工作流 |
本表概括平台技术栈；免费与付费产品设计上存在重叠。
[CE001, CE002, CE003, CE004, CE005, CE006, CE007, CE008]定义 Semgrep 当前平台故事的产品能力。
本快照梳理分层产品技术栈及当前技术边界。
[CE001, CE002, CE003, CE005, CE008, CE009, CE010, CE011, CE012]5.2 引擎深度与工作流适配
Semgrep 的技术优势，主要在于同时强调速度与上下文理解。公司称商业平台支持 35+ 种语言、提供 20,000+ 条 Pro 规则，并在 Community Edition 基础上增加跨文件分析。文档还列出多种实际工作流能力：策略模式、PR/MR 评论、Slack 和 Jira 通知、CI/CD 集成及 IDE 支持。 AI 能力也很关键。Guardian 发布后，Semgrep 将自己定位为持续服务于 Agent 和 IDE 的安全层；Assistant 则主打问题分流和修复建议，而不是泛用聊天。这一差异在于，产品想减少人工处理发现结果的工作，而非单纯增加告警。 [CE005, CE006, CE007, CE008]
5.3 护城河与边界局限
Semgrep 确有护城河，但范围有限。开源引擎、自定义规则和工作流集成带来了开发者优先的体验，AI/MCP 功能也让公司较早切入 Agent 编码趋势。但这道护城河并非牢不可破：Community Edition 的功能刻意少于付费平台，开源分支也在，因此 Semgrep 必须持续证明升级到商业版物有所值。 Semgrep 的技术壁垒，靠的是分发和工作流采用共同支撑，而非某个单点突破。它的优势在于语义匹配、快速扫描、治理控制，以及逐渐适配 Agent 编码场景的产品能力。 [CE009, CE010, CE011, CE012]
06客户群体
6.1 标杆客户与背书效应
最直观的客户信号没有变化：Semgrep 公开列出 Dropbox、Figma、Slack、Snowflake、GitLab、Shopify、HashiCorp 和 Notion 等公司。这些客户都以软件研发为核心，工程交付量大、攻击面也广。因此，Semgrep 的用户不只是业余爱好者，也包括需要大规模维护代码的专业团队。 Semgrep 官网和面向客户的内容反复强调，产品能加快修复、减少误报。扫描工具融入日常工作后，这些才是客户真正关心的结果。因此，客户信号不只是“用户多”，更是平台已从试用走向持续运营。 [CU001, CU002, CU003, CU004]
| 信号 | 表明内容 | 来源 |
|---|---|---|
| 标杆客户 Logo | 重研发企业深度使用 | Semgrep 官网介绍页 |
| 客户数据库 | 更广泛的采纳名单 | Apps Run The World |
| 案例引述 | 分诊与修复流程中的实际运维价值 | Semgrep 官方博客 |
| Guardian 宣传口径 | 切合 AI 时代工作流需求 | Semgrep Guardian 发布公告 |
公开客户信号仅供参考，不构成全量客户普查。
[CU001, CU002, CU003, CU004, CU009, CU010, CU011, CU012]更新版 Semgrep 报告中最清晰的客户信号。
本快照侧重公开可查参考案例，非全量客户普查。
[CU001, CU002, CU003, CU005, CU007, CU009, CU010, CU011, CU012]6.2 应用模式与客群结构
第三方客户数据库和公司资料显示，Semgrep 的客户包括中型企业团队、大型软件公司，以及从 CI、PR 评论或本地扫描开始使用产品的安全从业者。这符合 PLG 工具自下而上的扩散路径：先由个人或小组采用，再逐步成为全团队的策略管理层。 Semgrep 并未被某个垂直行业锁定。客户和应用场景横跨软件、金融科技、云计算及开发者工具，为公司打开了更广的潜在市场。但覆盖面越广，公司越需要在不同代码库中持续证明价值，不能只靠一个横向细分市场。 [CU005, CU006, CU007, CU008]
6.3 客户获得的实际价值
Semgrep 的公开客户内容反复提到三项结果：分流更快、误报更少、修复更早。这也呼应了公司的产品逻辑：安全工具应减少摩擦，而不是增加负担。2026 年推出的 Guardian 把这套做法延伸到 AI 编写的代码，让客户能在问题随代码引入时就发现它。 尽调的关键在于：Semgrep 有足够的客户案例支撑企业销售，但公开资料不足以量化留存、客户扩张或流失。客户信号偏正面，却仍以定性证据为主。 [CU009, CU010, CU011, CU012]
07风险考量
7.1 许可证与声誉风险
最具持续性的重大风险依然是 2024 年的许可证变更及其引发的反弹。OpenGrep 的推出让这种反弹彻底具象化：竞品与生态参与者公开发声，将该分支定性为捍卫开源获取权之举，以此对抗 Semgrep 的商业化限制。即便商业平台在技术上大幅领先免费分支，这依然造成了难以忽视的声誉拖累。 风险不止是价值观争议或品牌声誉。社区版越显受限，部分用户就越可能把免费版视作过渡工具，更早转向竞品或分支。这会让品牌争议直接冲击获客和转化漏斗。 [CR001, CR002, CR003, CR004]
7.2 竞争与定价风险
Semgrep 所处的市场环境意味着，产品一旦变贵或难以证明价值，买家就可能转向 GitHub 原生工具、大型 AppSec 套件或阻力更小的替代方案。公开定价降低了产品的试用门槛，但按贡献者计费的模式也让买家对成本一目了然，使得采购比价极为便利。 Semgrep 必须守住高信噪比优势。一旦产品变成普通扫描器，买家就会拿它和功能更全、或已在现有供应商体系中的工具比较。风险不在替代品是否存在，而在于它们能多快补上关键工作流，达到可接受的水平。 [CR005, CR006, CR007, CR008]
| 风险 | 压力源 | 预计影响 |
|---|---|---|
| GitHub 原生替代 | GHAS / CodeQL | 增购独立工具意愿下降 |
| 平台捆绑销售 | 产品线更广的 AppSec 套件 | 独立采购立项难度增加 |
| 定价透明 | 按代码贡献者计费 | 厂商间比价更容易 |
| 替代扫描工具 | 开发者优先的竞品 | 换供应商的选择更多 |
竞争压力具有结构性且长期存在。
[CR005, CR006, CR007, CR008]构成 Semgrep 尽调判断的主要风险信号。
本快照对核心竞争与披露风险进行排序，未做定量测算。
[CR001, CR002, CR003, CR004, CR005, CR006, CR009, CR010, CR011, CR012]7.3 财务与执行风险
最后一类风险属于财务维度的不透明性。Semgrep 虽然拥有充裕的融资支持，但仍未公布足以判别其增长究竟高效还是高昂的核心经营指标。这十分关键，因为未上市的安全软件企业固然可以长期募集资本，但估值最终仍取决于数据实证而非空泛叙事。 公司现在的规模也让执行风险超出产品发布质量本身。Semgrep 必须持续推出 AI 功能、维持开发者信任、支撑企业销售，同时不能让开源社区觉得被抛弃。这些目标难以兼顾；若客户增长放缓，或竞品变得“够用”，平衡就更难维持。 [CR009, CR010, CR011, CR012]
08估值分析
8.1 公开市场定价线索传递的信号
Forge 二级市场页面是本次更新资料包中最清晰的公开估值线索，标示 Semgrep 的估值为 $799.24M。这适合作为外部参考信号，但未经公司审计，也不是正式的投后估值。它至少表明，第三方市场数据给出的水平已不只是种子轮或 Series A 阶段公司的估值。 其他公开线索大致指向同一结论：Semgrep 已募集可观资金，有明显的企业客户采用，也仍是非上市公司。这些事实至少说明它已处于成长期公司的估值区间。争议在于，估值溢价应高于、接近还是低于 Forge 的指示值。 [CV001, CV002, CV003, CV004]
| 输入项 | 观测到的信号 | 解读 |
|---|---|---|
| Forge 二级市场页面 | $799.24M 估值标签 | 市场方向性信号 |
| 募资总额 | $204M | 支持有分量的非上市公司估值 |
| 融资轮次 | Series D | 具备成长期公司特征 |
| 收入披露 | 未见公开 | 无法测算精确估值倍数 |
Forge 数据点来自二级市场，并非公司正式估值。
[CV001, CV002, CV003, CV004]2026 年框定 Semgrep 估值区间的公开信号。
本快照提供估值区间参考，非董事会核准估值。
[CV001, CV002, CV003, CV004, CV005, CV006, CV007, CV008]8.2 估值区间与研判立场
Semgrep 没有公布营收或 ARR，因此估值区间只能参考可比非上市公司，不能直接套用收入倍数。务实地看，它的估值大概率高于融资有限的开发者工具公司，但披露不足以支持精确估值。因此，仅凭估值不足以形成强烈的看多判断，当前立场仍是合理但存疑。 估值讨论的重点不在某个精确数字，而在经营证据是否扎实。若管理层能证明留存强劲、增长高效，且 AI 驱动的产品扩张具有持续性，市场估值就可能维持甚至上升；反之，公开指标不足会继续削弱估值支撑。 [CV005, CV006, CV007, CV008]
8.3 驱动估值校准的潜在变量
提高估值判断置信度，最快的办法是披露当前 ARR、增长率和 NRR。这样才能用更一致的口径，将 Semgrep 与其他非上市安全和开发者平台公司比较。其次，可提供近期经董事会批准的投后估值，或可信度高于交易平台快照的二级交易参考。 在这些数据出现前，估值判断只能综合产品质量、客户采用、融资额和零散的外部市场信号。这足以支持工作层面的尽调判断，却不足以给出明确的投资级定价。 [CV009, CV010, CV011, CV012]
免责声明
本报告为截至 2026 年 9 月 24 日生成的分析研究成果。内容基于可能随时间推移发生变化的公开材料、第三方数据库以及公司发布内容。本报告不构成投资建议，亦非买卖任何证券的要约邀请。
证据索引
| 编号 | 陈述 | 可信度 | 来源 |
|---|---|---|---|
| CO001 | Semgrep was founded in 2017 by Isaac Evans, Drew Dennison, and Luke O'Malley and is headquartered in San Francisco. | 高 | SO002, SO007 |
| CO002 | Semgrep sells a developer-native application security platform that spans SAST, SCA, secrets scanning, and AI-assisted triage. | 高 | SO001, SO004 |
| CO003 | The company still uses an open-source wedge and says the platform supports more than 40 coding languages, 3,000+ community rules, and roughly 75M scans per year. | 高 | SO001, SO002 |
| CO004 | Semgrep's public pricing shows a free tier and a Teams tier starting at $30 per contributor per month, with third-party pricing coverage echoing the same contributor model. | 高 | SO003, SO009 |
| CO005 | Semgrep announced a $100M Series D in February 2025 led by Menlo Ventures and said total funding reached $204M. | 高 | SO005, SO008 |
| CO006 | TechCrunch previously reported Semgrep's $53M Series C and described the company as having about 90 employees and $93M raised at that point. | 中 | SO006 |
| CO007 | Tracxn lists Semgrep at 266 employees as of late August 2026, which is a useful but lagging external headcount estimate. | 中 | SO007 |
| CO008 | Semgrep publicly names customers and users such as Figma, Dropbox, Slack, Snowflake, and Notion. | 高 | SO001, SO002 |
| CO009 | Semgrep does not publicly disclose ARR, revenue run-rate, NRR, or cash burn. | 中 | SO001, SO007 |
| CO010 | Guardian is Semgrep's 2026 launch for real-time security on AI-written code and is positioned as an always-on layer for agents and IDEs. | 高 | SO004, SO001 |
| CO011 | Semgrep describes its mission as improving software security and reliability without slowing developers down. | 高 | SO002, SO005 |
| CO012 | The refreshed evidence still places Semgrep in private-undisclosed territory rather than a fully transparent public-company disclosure regime. | 中 | SO001, SO007 |
| CO013 | The open-source license change created a reputational overhang and helped trigger the OpenGrep fork. | 中 | SO010 |
| CM001 | Semgrep is positioned for teams that want code security guardrails inside the developer workflow rather than heavyweight security review outside it. | 高 | SM001, SM003 |
| CM002 | AI-written code increases the amount of code that needs to be checked and raises the value of real-time guardrails. | 中 | SM002, SM001 |
| CM003 | Semgrep's product-led motion uses the free Community Edition as the acquisition wedge and paid tiers as the upgrade path. | 高 | SM006, SM001 |
| CM004 | The company's pricing and packaging make contributor count a central buyer consideration. | 中 | SM006, SM008 |
| CM005 | Independent adoption sources show Semgrep is used by a mix of mid-market and enterprise software teams rather than only hobbyists. | 中 | SM005, SM003 |
| CM006 | The market still rewards tools that are fast, easy to deploy, and easy to extend with custom rules. | 中 | SM001, SM007 |
| CM007 | Semgrep's upgrade path is strongest where teams need team-wide policy, AI triage, and broader governance after bottom-up adoption. | 中 | SM006, SM002 |
| CM008 | The category is crowded enough that buyers can compare Semgrep against alternative scanners, open-source forks, and broader AppSec suites. | 中 | SM004, SM007 |
| CM009 | Semgrep's public logos imply the product has already crossed from niche developer tool into broader security-team adoption. | 中 | SM001, SM005 |
| CM010 | The market problem remains high-noise, low-context static analysis rather than a lack of findings. | 中 | SM001, SM004 |
| CM011 | Open-source forks and adjacent tools raise switching pressure and keep pricing discipline relevant. | 中 | SM004, SM008 |
| CM012 | The market opportunity is still expanding because AI coding increases both output volume and security exposure. | 中 | SM002, SM001 |
| CP001 | The main buyer comparisons around Semgrep are Snyk, Checkmarx, Veracode, SonarQube, DeepSource, GitHub CodeQL/GHAS, and OpenGrep. | 中 | SP003, SP004, SP005, SP006 |
| CP002 | Semgrep's comparison advantage is usually framed as faster developer workflow and easier custom rule authoring. | 中 | SP001, SP008 |
| CP003 | OpenGrep is the clearest open-source fork threat because it targets the same Community Edition workflow. | 中 | SP004, SP007 |
| CP004 | GitHub-native security remains a real substitute for organizations that are already standardized on GitHub. | 中 | SP002, SP006 |
| CP005 | Semgrep differentiates most strongly on the combination of speed, custom rules, and a low-friction open-core funnel. | 中 | SP001, SP008 |
| CP006 | The commercial platform's cross-file analysis and AI triage are the main reasons buyers upgrade from the free edition. | 高 | SP001, SP002 |
| CP007 | Broad AppSec suites compete on bundling and procurement convenience rather than just scanner depth. | 中 | SP003, SP005 |
| CP008 | Semgrep's platform story is stronger than its Community Edition story because the paid tier adds governance and broader analysis. | 中 | SP001, SP006 |
| CP009 | Semgrep remains exposed to pricing pressure because buyers can compare many adjacent tools with overlapping claims. | 中 | SP003, SP005, SP008 |
| CP010 | The open-source fork dynamic can compress the Community Edition funnel even if the paid platform remains differentiated. | 中 | SP004, SP007 |
| CP011 | Public comparisons still describe Semgrep as developer-friendly and fast enough for CI and PR workflows. | 中 | SP003, SP005, SP008 |
| CP012 | The market remains crowded enough that Semgrep needs to keep proving signal quality and ease of use. | 中 | SP001, SP003, SP005 |
| CI001 | Semgrep announced a $100M Series D in February 2025 led by Menlo Ventures. | 高 | SI001, SI004 |
| CI002 | The Series D brought Semgrep's total funding to $204M. | 高 | SI001, SI003, SI004 |
| CI003 | Semgrep's Series C was a $53M round reported by TechCrunch in 2023. | 中 | SI002 |
| CI004 | The financing story is still backed by the same core enterprise software investors across multiple rounds. | 中 | SI001, SI002, SI003, SI004 |
| CI005 | Semgrep does not publicly disclose ARR, revenue-run-rate, gross margin, or NRR. | 中 | SI006, SI009 |
| CI006 | Semgrep also does not publicly disclose cash burn or runway. | 中 | SI006, SI009 |
| CI007 | Tracxn lists Semgrep at 266 employees as of late August 2026. | 中 | SI005 |
| CI008 | That headcount estimate implies the company has moved beyond early-startup scale even without public revenue disclosure. | 中 | SI005, SI007 |
| CI009 | Forge's secondary-market page shows a $799.24M valuation label for Semgrep. | 中 | SI007 |
| CI010 | The valuation datapoint should be treated as directional rather than audited market value. | 中 | SI007, SI008 |
| CI011 | The company has not publicly confirmed debt, secondary sale detail, or an official post-money mark. | 中 | SI006, SI009 |
| CI012 | The fundraising proceeds were framed as fuel for AI capabilities, program-analysis talent, and GTM expansion. | 高 | SI001, SI010, SI012 |
| CE001 | Semgrep's current platform is a layered stack of Community Edition, Code, Supply Chain, Secrets, Assistant, and Guardian. | 高 | SE001, SE004, SE010 |
| CE002 | The platform is designed to unify scanning, triage, and remediation rather than just emit findings. | 高 | SE001, SE002 |
| CE003 | Semgrep says the commercial stack supports 35+ languages and 20,000+ Pro rules. | 高 | SE003, SE005 |
| CE004 | Guardian extends the product into real-time security for AI-written code and agentic workflows. | 高 | SE004, SE009 |
| CE005 | Semgrep's workflow surface includes CI/CD, PR/MR comments, IDE support, Slack/Jira routing, and MCP integrations. | 中 | SE002, SE004, SE012 |
| CE006 | The paid platform adds cross-file analysis, AI triage, and remediation guidance beyond Community Edition. | 高 | SE001, SE010 |
| CE007 | Semgrep Assistant's public narrative centers on triage and remediation rather than a generic chatbot. | 高 | SE010, SE007 |
| CE008 | The company claims high user agreement with AI triage and faster remediation feedback loops. | 中 | SE010, SE007 |
| CE009 | The platform's moat is strongest where fast scans, semantic rules, and workflow fit meet. | 中 | SE001, SE002, SE012 |
| CE010 | The open-source wedge is still central because the free edition drives familiarity and adoption. | 中 | SE006, SE011 |
| CE011 | The technical limit of Community Edition is still narrower analysis than the paid platform. | 中 | SE001, SE006, SE008 |
| CE012 | Semgrep's technology moat is real but not absolute because rules and workflow integrations can be replicated by serious competitors. | 中 | SE001, SE006, SE008 |
| CU001 | Semgrep publicly names Dropbox, Figma, Slack, Snowflake, GitLab, Shopify, HashiCorp, and Notion as users or customers. | 高 | SU001, SU002 |
| CU002 | Those logos point to a customer base of engineering-heavy organizations rather than casual consumers. | 中 | SU001, SU002 |
| CU003 | Apps Run The World maintains a customer database page specifically for Semgrep AppSec Platform. | 中 | SU003 |
| CU004 | Third-party customer references support the view that Semgrep has moved into a real enterprise sales motion. | 中 | SU003, SU004, SU005 |
| CU005 | Semgrep's customer story spans software, cloud, fintech, and infrastructure-heavy organizations. | 中 | SU001, SU003, SU005 |
| CU006 | The company emphasizes faster remediation and fewer false positives as customer outcomes. | 高 | SU006, SU009, SU010 |
| CU007 | Guardian extends the customer story into AI-written code and agentic development workflows. | 高 | SU007, SU011 |
| CU008 | The public evidence still does not quantify customer retention, expansion, or churn. | 中 | SU001, SU004 |
| CU009 | Semgrep's public references suggest the product is used in day-to-day triage rather than only in annual audits. | 中 | SU006, SU009, SU010 |
| CU010 | The customer narrative is strong enough to support an enterprise sales motion but still lacks disclosed cohort data. | 中 | SU004, SU005, SU008 |
| CU011 | The 2026 refresh continues to show customer references as a major part of Semgrep's credibility story. | 中 | SU001, SU007, SU012 |
| CU012 | Semgrep's customer proof is qualitative and logo-led rather than quantified with public retention data. | 中 | SU003, SU004, SU008 |
| CR001 | The 2024 licensing change created a persistent reputational overhang for Semgrep. | 中 | SR001, SR002 |
| CR002 | OpenGrep makes the open-source backlash operational by giving users a fork path. | 中 | SR001, SR003 |
| CR003 | That fork risk can weaken the free-to-paid funnel if community users decide to migrate earlier. | 中 | SR001, SR003 |
| CR004 | The reputation issue matters because Semgrep depends on community trust as part of its distribution model. | 中 | SR009, SR011 |
| CR005 | GitHub-native security remains a practical substitute for teams that already standardized on GitHub. | 中 | SR005, SR007 |
| CR006 | Contributor-based pricing makes Semgrep easier to evaluate but also easier to compare on cost. | 中 | SR004, SR006 |
| CR007 | Broader AppSec suites can bundle enough adjacent functionality to make Semgrep look narrow. | 中 | SR007, SR012 |
| CR008 | Semgrep's differentiation still depends on keeping scans fast, findings actionable, and the developer workflow pleasant. | 中 | SR009, SR011 |
| CR009 | The company still does not publicly disclose ARR, NRR, burn, or runway. | 中 | SR008, SR009 |
| CR010 | The AI roadmap is a differentiator, but it also raises expectations that can cut both ways if product quality slips. | 中 | SR010, SR011 |
| CR011 | Execution risk now includes community trust, enterprise scaling, and AI feature delivery at the same time. | 中 | SR009, SR010, SR011 |
| CR012 | If customers treat Semgrep as 'good enough' rather than best-in-class, switching pressure will intensify. | 中 | SR006, SR007, SR012 |
| CV001 | Forge's page gives Semgrep a $799.24M valuation label. | 中 | SV001 |
| CV002 | That Forge number should be treated as a directional secondary-market signal rather than an audited mark. | 中 | SV001 |
| CV003 | Semgrep has enough funding and public adoption to support a premium private-company valuation framework. | 中 | SV002, SV003, SV004 |
| CV004 | Semgrep still lacks public revenue, ARR, or NRR disclosure, which keeps the mark imprecise. | 中 | SV007, SV008 |
| CV005 | The current stage is still Series D private, which supports a growth-company valuation rather than a mature software mark. | 中 | SV002, SV005 |
| CV006 | The lack of public financial metrics is the main reason the valuation stance remains range-based. | 中 | SV004, SV007, SV008 |
| CV007 | A current ARR, growth rate, or NRR disclosure would tighten the valuation range materially. | 中 | SV007, SV008, SV011 |
| CV008 | Management has not published a board-approved post-money mark that can be treated as definitive. | 中 | SV005, SV009 |
| CV009 | The product and adoption story are strong enough to justify a fair rather than distressed stance. | 中 | SV003, SV007, SV010 |
| CV010 | The company can still argue for a premium mark if AI features and enterprise adoption keep compounding. | 中 | SV010, SV012 |
| CV011 | The valuation case remains sensitive to future disclosure because the same product quality can support very different multiples. | 中 | SV007, SV008, SV009 |
| CV012 | A reasonable current stance is fair-to-unknown rather than aggressively expensive or cheap. | 中 | SV001, SV003, SV006 |