Was ist Semgrep MCP?
Semgrep ist ein schneller statischer Analysator für mehr als 30 Sprachen, dessen Regeln aussehen wie der Code, den sie finden. Sein MCP-Server ist inzwischen als semgrep mcp in das semgrep-Binary eingebaut, nachdem das eigenständige Repository semgrep/mcp archiviert wurde. Mit ihm kann ein Agent Code mit diesen Regeln scannen. Für Claude Code bündelt Semgrep Guardian den MCP-Server mit Hooks, die jede Datei scannen, die der Agent schreibt.
Standardmäßig wird der Code lokal analysiert und nie hochgeladen. Die kostenlose Community Edition analysiert jeweils eine Funktion oder Datei; dateiübergreifender Datenfluss, Pro-Regeln und das Scannen von Abhängigkeiten brauchen ein Semgrep-Login.
Semgrep MCP installieren
semgrep mcpLohnt sich Semgrep MCP?
Die letzte Verteidigungslinie für KI-geschriebenen Code sollte dieselbe sein wie für menschlichen Code: ein Check außerhalb der Coding-Sitzung, der den Merge blockiert. Semgrep ist dieser Check seit Jahren, in mehr als 30 Sprachen, und sein Haupt-Repository hat 17.000 GitHub-Sterne und steht bei Release 1.182.0. Der MCP-Server und das Guardian-Plugin holen ihn nun auch in die Sitzung.
Das zählt, weil der Agent den Befund sieht, während er noch arbeitet, und ihn behebt, bevor du den Diff überhaupt prüfst. Und weil Semgrep-Regeln in der Syntax der jeweiligen Sprache geschrieben sind, wird ein Bug, den dein Team einmal gefunden hat, zu einer Regel, die ihn für immer abfängt: im Editor, im Agenten und in der CI.
Der Haken: Die kostenlose Community Edition betrachtet jeweils eine Funktion oder Datei, und laut Semgrep selbst entgehen ihr damit im Sicherheitseinsatz viele echte Bugs. Dateiübergreifender Datenfluss und das Scannen von Abhängigkeiten brauchen ein Login, die volle Plattform ist kommerziell. Registry-Konfigurationen senden pseudonyme Regelmetriken, sofern du nicht --metrics=off übergibst.
Unser Fazit: Was auch immer du sonst einsetzt, mach semgrep scan --error zu einem verpflichtenden Status-Check für Pull Requests. Im kostenlosen Tarif schließen OSV-Scanner für Abhängigkeiten und Gitleaks für Secrets die offensichtlichen Lücken.
Wo es sich lohnt
Ein Team mit 20 Entwicklern, das Claude Code in einem TypeScript-Monorepo nutzt
Unsicheren Code vom Merge abhalten, egal wer ihn geschrieben hat
semgrep scan --config auto --error --metrics=off als verpflichtenden CI-Check hinzufügen und Guardian installieren, damit der Agent dieselben Befunde schon während der Arbeit sieht. Die Community Edition ist kostenlos.
Eine AppSec-Leiterin, die immer wieder dieselbe Bug-Klasse sieht
Ein wiederkehrendes Bug-Muster endgültig stoppen
Eine Semgrep-Regel in der Syntax des Codes schreiben und sie in die gemeinsame Konfiguration aufnehmen, die CI und Agent verwenden.
Bevor du dich festlegst
- Einrichtung
- brew install semgrep oder python3 -m pip install semgrep; semgrep mcp startet den Server. Guardian wird über den /plugin-Manager von Claude Code installiert.
- Integrationen
- Claude Code (Guardian-Plugin mit Hooks), Cursor, VS Code und andere MCP-Clients; GitHub- und GitLab-CI; SARIF-Ausgabe.
- Daten und Datenschutz
- Code wird lokal analysiert und standardmäßig nicht hochgeladen; Registry-Konfigurationen senden pseudonyme Metriken, sofern nicht --metrics=off gesetzt ist. Guardian kommuniziert mit semgrep.dev für Login und Deployment-Details.
- Kosten im großen Maßstab
- Die Community Edition ist kostenlos; die Preise der AppSec Platform gelten pro Contributor und stehen auf der Preisseite von Semgrep.
- Grenzen
- Die Community Edition analysiert nur einzelne Funktionen oder Dateien und übersieht dateiübergreifende Bugs.
Was gut ist
- Dieselben Regeln im Agenten, im Editor und in der CI
- Code wird standardmäßig lokal analysiert
- Regeln sehen aus wie der Code, den sie finden
- Mehr als 30 Sprachen
Was nicht
- Der kostenlose Tarif analysiert jeweils eine Funktion oder Datei
- Dateiübergreifende Analyse und Abhängigkeits-Scans brauchen ein Login
- Registry-Konfigurationen senden Metriken, sofern nicht deaktiviert
- Eigenständiges MCP-Repository archiviert; aktuelle Installation in der Dokumentation prüfen
Am besten für
Jedes Team, das KI-geschriebenen Code durch dieselbe Hürde der statischen Analyse schicken will wie menschlichen Code.
Alternativen zu Semgrep MCP
Semgrep MCP: häufige Fragen
- Lohnt sich Semgrep MCP?
- Ein Modell lässt sich einen Befund ausreden, ein fehlgeschlagener CI-Check nicht, und mit Semgrep läuft an beiden Stellen derselbe Check. Wir bewerten es mit 4.3 von 5.
- Was kostet Semgrep MCP?
- Community Edition kostenlos unter LGPL 2.1; die Semgrep AppSec Platform (Pro-Regeln, dateiübergreifende Analyse, Supply Chain, Secrets) ist kostenpflichtig.
- Welche Nachteile hat Semgrep MCP?
- Der kostenlose Tarif analysiert jeweils eine Funktion oder Datei; Dateiübergreifende Analyse und Abhängigkeits-Scans brauchen ein Login; Registry-Konfigurationen senden Metriken, sofern nicht deaktiviert; Eigenständiges MCP-Repository archiviert; aktuelle Installation in der Dokumentation prüfen.
- Für wen eignet sich Semgrep MCP?
- Jedes Team, das KI-geschriebenen Code durch dieselbe Hürde der statischen Analyse schicken will wie menschlichen Code.
- Was kostet Semgrep MCP für ein Team oder im Produktivbetrieb?
- Die Community Edition ist kostenlos; die Preise der AppSec Platform gelten pro Contributor und stehen auf der Preisseite von Semgrep.
- Ist Semgrep MCP sicher für Firmendaten?
- Code wird lokal analysiert und standardmäßig nicht hochgeladen; Registry-Konfigurationen senden pseudonyme Metriken, sofern nicht --metrics=off gesetzt ist. Guardian kommuniziert mit semgrep.dev für Login und Deployment-Details.
- Was sind die besten Alternativen zu Semgrep MCP?
- Die nächsten Alternativen, die wir getestet haben, sind Snyk MCP Server (Snyk Studio).
Antworten geprüft am 24. Okt. 2026.