Alternatif Sumber Terbuka di Tengah Kontroversi Lisensi Semgrep

Komunitas keamanan menyaksikan perubahan besar pada Januari 2025, ketika perusahaan saingan bersatu untuk meluncurkan Opengrep – sebuah fork dari alat pengujian keamanan aplikasi statis, Semgrep. Semgrep yang awalnya dirayakan karena etos sumber terbuka yang didorong oleh komunitas, memicu kontroversi ketika mengubah model lisensinya pada Desember 2024. Perubahan lisensi ini membatasi penggunaan aturan yang disumbangkan dalam produk komersial dan memindahkan fitur kunci di balik paywall.

Semgrep menjadi alat yang penting bagi pengembang di seluruh dunia karena kemampuannya untuk mendeteksi kerentanan di berbagai bahasa pemrograman. Namun, keputusan perusahaan ini berisiko mematikan inovasi di area yang sangat penting bagi keamanan siber modern.

Di tengah kontroversi, startup DevSecOps DeepSource meluncurkan Globstar, sebuah toolkit sumber terbuka baru untuk keamanan kode. Dibangun dari awal dan dirilis di bawah lisensi MIT, Globstar mengklaim untuk menyediakan akses komersial dan akses publik penuh ke kode tanpa batasan.

“Melalui Globstar, kami menawarkan pendekatan baru untuk analisis statis kustom, yang dirancang dengan kebutuhan tim keamanan dalam pikiran. Ini muncul dari kerangka kerja internal yang kami kembangkan untuk deteksi ancaman,” kata Sanket Saurav, co-founder dan CEO DeepSource, kepada saya. “Semgrep sudah berada di tangan yang kompeten, dan tujuan kami adalah untuk mengambil jalur yang berbeda. Kami melihat diri kami bukan sebagai pengganti, melainkan sebagai alternatif yang membawa perspektif baru ke ruang ini.”

Perusahaan ini telah mengumpulkan total $7,7 juta dalam pendanaan dan saat ini didukung oleh investor Y-Combinator.

Dikembangkan menggunakan bahasa pemrograman Go dan terintegrasi dengan Tree-sitter, Globstar mendukung lebih dari 20 bahasa pemrograman. Toolkit ini memiliki antarmuka YAML yang intuitif untuk membuat pemeriksa keamanan kustom dan antarmuka Go yang maju untuk analisis silang-berkas.

“Ketika sebuah proyek difork, seringkali mengambil jalur yang berbeda – tetapi ketika dibatasi untuk membangun di atas produk yang ada, inovasi dapat terbatas,” kata Sanket. “Kami menciptakan sistem yang memudahkan proses penulisan pemeriksa kode kustom.”

Kebutuhan Bisnis versus Pelestarian Sumber Terbuka

Pada 13 Desember 2024, Semgrep merevisi model lisensinya untuk membatasi penggunaan aturan yang disumbangkan oleh pihak ketiga dalam produk komersial tanpa otorisasi. Selain itu, perusahaan ini mengganti nama versi sumber terbukanya menjadi “Semgrep CE” (Edisi Komunitas). Semgrep mengklaim bahwa perubahan lisensinya diperlukan untuk melindungi kekayaan intelektual dan memastikan pendapatan yang berkelanjutan. Perusahaan ini berpendapat bahwa membatasi penggunaan komersial membantu mencegah pengemasan ulang yang tidak sah dan mendukung inovasi jangka panjang.

“Ketika insinyur menulis kode untuk memecahkan masalah, analisis statis memeriksa kode tanpa eksekusi, mengidentifikasi pola dan masalah potensial pada awal proses pengembangan. Semgrep adalah pemain yang dihormati di ruang ini, dan saya menghormatinya,” kata Sanket. “Namun, perubahan lisensinya untuk pengguna komersial mencerminkan kenyataan yang lebih luas: perusahaan yang didukung oleh modal ventura harus menyeimbangkan prinsip sumber terbuka dengan model bisnis yang berkelanjutan.”

Ia mencatat bahwa meskipun perubahan tersebut tidak secara langsung mempengaruhi pengguna akhir, hal ini memicu debat yang berkelanjutan tentang apakah sumber terbuka harus tetap tidak terbatas atau berkembang untuk memastikan kelangsungan jangka panjang.

Pada Januari 2025, 10 perusahaan DevSec termasuk Aikido Security, Arnica, Amplify Security, Endor Labs, Jit, Kodem, Legit Security, Mobb, dan Orca Security – membentuk konsorsium untuk meluncurkan Opengrep. Tradisionalnya, pesaing yang gigih ini sekarang secara langsung berencana untuk menantang keputusan Semgrep untuk membatasi fungsionalitas demi keuntungan komersial. Dalam posting blog, Endor Labs menyatakan bahwa analisis kode statis “terlalu penting untuk dibatasi”.

Namun, belum jelas apakah Opengrep hanya mengemas ulang kode warisan atau menawarkan solusi yang benar-benar baru.

Munculnya Alternatif Sumber Terbuka

DeepSource mengenali kebutuhan yang berkembang di kalangan pengembang untuk alat yang tidak mewarisi keterbatasan warisan. “Pelanggan perusahaan tidak ingin mengurus banyak alat – ini menciptakan tantangan integrasi dan meningkatkan permintaan untuk solusi all-in-one,” jelas Sanket. “Analisis statis memainkan peran kritis dalam memahami arsitektur kode, itulah mengapa kami memposisikan diri sebagai platform terintegrasi.”

Namun, Globstar dari DeepSource tidak sendirian, beberapa alternatif analisis kode statis telah mendapatkan traksi setelah kontroversi lisensi Semgrep. Misalnya, SonarQube adalah platform analisis kode yang menawarkan Edisi Komunitas gratis dan versi berbayar untuk analisis kode statis, dukungan integrasi, dan pelacakan metrik. Begitu pula, ShellCheck adalah alternatif lain yang khusus digunakan untuk menganalisis skrip shell dan membantu pengembang menangkap kesalahan penulisan yang dapat menyebabkan bug atau ketidakefisienan besar. Ini memperingatkan perintah atau sintaks yang mungkin tidak portabel di berbagai lingkungan shell. Karena kemudahan penggunaannya – kemampuan untuk dijalankan dari baris perintah dan diintegrasikan dengan mudah ke dalam pipa CI/CD, ShellCheck telah menjadi pilihan yang semakin populer.

Sementara Opengrep berusaha untuk melestarikan akar sumber terbuka dari alat warisan, alternatif lain seperti SonarQube, Globstar, dan ShellCheck juga menawarkan solusi yang segar dan berpikiran maju. Ketika debat sumber terbuka terbuka, pengembang dan perusahaan menghadapi pilihan yang menentukan yang dapat meredefinisi lanskap analisis kode.