Alternativas de Código Aberto em Meio à Controvérsia de Licenciamento do Semgrep

A comunidade de segurança testemunhou uma mudança sísmica em janeiro de 2025, quando empresas rivais se uniram para lançar o Opengrep — um fork da ferramenta de teste de segurança de aplicativos estáticos, Semgrep. Anteriormente celebrado por sua ética de código aberto orientada à comunidade, o Semgrep despertou controvérsia quando alterou seu modelo de licenciamento em dezembro de 2024. Essas alterações de licenciamento restringiram o uso de regras contribuídas em produtos comerciais e transferiram recursos-chave para trás de um paywall.

O Semgrep se tornou uma ferramenta essencial para desenvolvedores em todo o mundo devido à sua capacidade de detectar vulnerabilidades em várias linguagens de programação. No entanto, a decisão da empresa arrisca sufocar a inovação em uma área vital para a cibersegurança moderna.

Em meio à controvérsia, a startup de DevSecOps DeepSource lançou o Globstar, uma nova ferramenta de código aberto para segurança de código. Construída do zero e lançada sob a licença MIT, o Globstar afirma oferecer acesso comercial e público irrestrito ao seu código.

“Com o Globstar, estamos oferecendo uma abordagem fresca para análise estática personalizada, projetada com as necessidades das equipes de segurança em mente. Ela surgiu de um framework interno que desenvolvemos para detecção de ameaças”, disse Sanket Saurav, co-fundador e CEO da DeepSource, em conversa comigo. “O Semgrep já está em mãos capazes, e nosso objetivo foi trilhar um caminho distinto. Não nos vemos como uma substituição, mas como uma alternativa que traz uma nova perspectiva para o espaço”.

A empresa levantou um total de $7,7M em financiamento e atualmente é apoiada por investidores da Y-Combinator.

Desenvolvida utilizando a linguagem de programação Go e integrada ao Tree-sitter, o Globstar suporta mais de 20 linguagens de programação. A ferramenta apresenta uma interface YAML intuitiva para criar verificadores de segurança personalizados e uma interface Go avançada para análise cruzada de arquivos.

“Quando um projeto é bifurcado, frequentemente assume uma trajetória diferente — mas quando limitado a construir sobre um produto existente, a inovação pode ser limitada”, disse Sanket. “Criamos um sistema que simplifica o processo de escrita de verificadores de código personalizados”.

Necessidade Empresarial versus Preservação de Código Aberto

Em 13 de dezembro de 2024, o Semgrep reviu seu modelo de licenciamento para restringir o uso de regras contribuídas por terceiros em produtos comerciais concorrentes sem autorização. Além disso, a empresa rebrandou sua versão de código aberto como “Semgrep CE” (Edição Comunitária). O Semgrep afirma que as alterações de licenciamento são essenciais para proteger a propriedade intelectual e garantir um modelo de negócios sustentável. A empresa argumenta que restringir o uso comercial ajuda a prevenir a reembalagem não autorizada e apoia a inovação de longo prazo.

“Quando os engenheiros escrevem código para resolver um problema, a análise estática examina o código sem execução, identificando padrões e problemas potenciais cedo no processo de desenvolvimento. O Semgrep é um jogador respeitado nesse espaço, e eu os tenho em alta consideração”, disse Sanket. “No entanto, sua mudança de licenciamento para usuários comerciais reflete uma realidade mais ampla: as empresas apoiadas por VC devem equilibrar os princípios de código aberto com modelos de negócios sustentáveis”.

Ele observa que, embora a mudança não tenha afetado diretamente os usuários finais, ela levanta um debate contínuo sobre se o código aberto deve permanecer completamente irrestrito ou evoluir para garantir a viabilidade de longo prazo.

Em janeiro de 2025, 10 empresas de DevSec, incluindo Aikido Security, Arnica, Amplify Security, Endor Labs, Jit, Kodem, Legit Security, Mobb e Orca Security, formaram um consórcio para lançar o Opengrep. Tradicionalmente, concorrentes ferozes, o novo consórcio planeja desafiar diretamente a decisão do Semgrep de limitar a funcionalidade em favor do lucro comercial. Em um post de blog, a Endor Labs afirmou que a análise de código estático é “muito importante para ser restrita”.

No entanto, ainda não está claro se o Opengrep simplesmente reembala o código legado em vez de oferecer uma solução completamente nova.

O Surgimento de Alternativas de Código Aberto

A DeepSource reconheceu uma necessidade crescente entre os desenvolvedores por uma ferramenta que não herde restrições legadas. “Os clientes empresariais não querem lidar com várias ferramentas — isso cria desafios de integração e impulsiona a demanda por uma solução all-in-one”, explicou Sanket. “A análise estática desempenha um papel crucial na compreensão da arquitetura do código, e é por isso que nos posicionamos como uma plataforma unificada”.

No entanto, o Globstar da DeepSource não está sozinho; várias alternativas de análise de código estático ganharam tração após a controvérsia de licenciamento do Semgrep. Por exemplo, o SonarQube é uma plataforma de análise de código que oferece tanto uma Edição Comunitária gratuita quanto versões pagas para análise de código estático, suporte à integração e rastreamento de métricas. Da mesma forma, o ShellCheck é outra alternativa usada especificamente para analisar scripts de shell e ajuda os desenvolvedores a capturar erros de script que podem mais tarde levar a bugs ou ineficiências significativas. Ele sinaliza comandos ou sintaxe que podem não ser portáteis em diferentes ambientes de shell. Devido à sua facilidade de uso — capacidade de ser executado a partir da linha de comando e facilmente integrado a pipelines de CI/CD — o ShellCheck se tornou uma escolha cada vez mais popular.

Enquanto o Opengrep busca preservar as raízes de código aberto de uma ferramenta legada, outras alternativas como o SonarQube, Globstar e ShellCheck também oferecem uma solução fresca e prospectiva. À medida que o debate de código aberto se desenrola, os desenvolvedores e as empresas enfrentam escolhas cruciais que podem redefinir o panorama da análise de código.