Semgrep MCPの料金は？

Community Edition は LGPL 2.1 で無料です。Semgrep AppSec Platform（Pro ルール、ファイル横断の解析、Supply Chain、Secrets）は有料です。

Semgrep MCPの欠点は？

無料プランは一度に 1 つの関数またはファイルを解析する; ファイル横断の解析と依存関係のスキャンにはログインが必要; 無効にしない限り、レジストリの設定がメトリクスを送信する; 単独の MCP リポジトリはアーカイブ済みで、現在のインストール方法はドキュメントで確認が必要.

チームや本番環境でSemgrep MCPを使うと費用はいくらか？

Community Edition は無料です。AppSec Platform の料金は、Semgrep の料金ページにあるとおりコントリビューター単位です。

Semgrep MCPは企業データを扱っても安全か？

既定ではコードはローカルで解析され、アップロードされません。レジストリの設定は --metrics=off を指定しない限り、仮名化されたメトリクスを送信します。Guardian はログインとデプロイの詳細のために semgrep.dev と通信します。

Semgrep MCPの代わりになるものは？

当サイトでレビューした中で最も近い代替はSnyk MCP Server (Snyk Studio)です。

Semgrep MCPサーバーのレビュー (2026)

Semgrep MCPとは？

Semgrep は 30 を超える言語に対応した高速な静的解析ツールで、ルールはマッチ対象のコードと同じ見た目で書けます。MCP サーバーは、単独の semgrep/mcp リポジトリがアーカイブされた後、semgrep mcp として semgrep バイナリに組み込まれました。これにより、エージェントがそのルールでコードをスキャンできます。Claude Code 向けには、Semgrep Guardian が MCP サーバーと、エージェントが書くすべてのファイルをスキャンするフックをまとめて提供します。

既定ではコードはローカルで解析され、アップロードされることはありません。無料の Community Edition は一度に 1 つの関数またはファイルを解析します。ファイルをまたぐデータフロー、Pro ルール、依存関係のスキャンには Semgrep へのログインが必要です。

Semgrep MCPのインストール方法

semgrep mcp

Semgrep MCPは使う価値があるか？

AI が書いたコードの最後の防衛線は、人間が書いたコードと同じものであるべきです。つまり、コーディングセッションの外にあってマージを止めるチェックです。Semgrep は 30 を超える言語で長年そのチェックの役割を果たしてきました。メインのリポジトリは GitHub のスター数が 17,000 で、リリースは 1.182.0 です。MCP サーバーと Guardian プラグインは、それをセッションの中にも持ち込みます。

これが重要なのは、エージェントが作業中に指摘を目にし、あなたが diff をレビューする前に修正するからです。また Semgrep のルールはその言語自体の構文で書くため、チームが一度見つけたバグはルールになり、エディター、エージェント、CI でいつまでも検出されるようになります。

注意点：無料の Community Edition は一度に 1 つの関数またはファイルしか見ません。Semgrep 自身も、セキュリティ用途では多くの実際のバグを見逃すと述べています。ファイルをまたぐデータフローと依存関係のスキャンにはログインが必要で、プラットフォーム全体は商用です。レジストリの設定は、--metrics=off を指定しない限り、仮名化されたルールのメトリクスを送信します。

結論：ほかに何を導入するにしても、semgrep scan --error をプルリクエストの必須ステータスチェックにしてください。無料プランでは、依存関係には OSV-Scanner、シークレットには Gitleaks を使えば、明らかな穴を埋められます。

真価を発揮する場面

TypeScript のモノレポで Claude Code を使う開発者 20 人のチーム
誰が書いたかにかかわらず、安全でないコードのマージを止める
semgrep scan --config auto --error --metrics=off を必須の CI チェックとして追加し、Guardian をインストールして、エージェントが作業中に同じ指摘を目にするようにします。Community Edition は無料です。
同じ種類のバグを何度も目にする AppSec の責任者
繰り返し現れるバグのパターンを根絶する
コード自体の構文で Semgrep のルールを 1 つ書き、CI とエージェントが使う共有設定に追加します。

導入前に確認すること

導入: brew install semgrep または python3 -m pip install semgrep でインストールし、semgrep mcp でサーバーを起動します。Guardian は Claude Code の /plugin マネージャーからインストールします。
連携: Claude Code（フック付きの Guardian プラグイン）、Cursor、VS Code などの MCP クライアント。GitHub と GitLab の CI。SARIF 出力。
データとプライバシー: 既定ではコードはローカルで解析され、アップロードされません。レジストリの設定は --metrics=off を指定しない限り、仮名化されたメトリクスを送信します。Guardian はログインとデプロイの詳細のために semgrep.dev と通信します。
大規模利用時のコスト: Community Edition は無料です。AppSec Platform の料金は、Semgrep の料金ページにあるとおりコントリビューター単位です。
制限: Community Edition は単一の関数または単一のファイルの解析で、ファイルをまたぐバグを見逃します。

良い点

エージェント、エディター、CI で同じルール
既定でコードをローカルで解析する
ルールがマッチ対象のコードと同じ見た目
30 を超える言語

気になる点

無料プランは一度に 1 つの関数またはファイルを解析する
ファイル横断の解析と依存関係のスキャンにはログインが必要
無効にしない限り、レジストリの設定がメトリクスを送信する
単独の MCP リポジトリはアーカイブ済みで、現在のインストール方法はドキュメントで確認が必要

Semgrep MCPの代替

Snyk MCP Server (Snyk Studio)

SnykSecurity

4.0/5

Snyk's local MCP server, built into the Snyk CLI, that lets coding agents scan code, dependencies, IaC and containers for flaws.

Semgrep MCP：よくある質問

Semgrep MCPは使う価値があるか？: モデルは説得されて指摘を取り下げることがありますが、失敗した CI チェックはそうはいきません。Semgrep なら同じチェックを両方の場所で実行できます。評価は5点満点中4.3点です。
Semgrep MCPの料金は？: Community Edition は LGPL 2.1 で無料です。Semgrep AppSec Platform（Pro ルール、ファイル横断の解析、Supply Chain、Secrets）は有料です。
Semgrep MCPの欠点は？: 無料プランは一度に 1 つの関数またはファイルを解析する; ファイル横断の解析と依存関係のスキャンにはログインが必要; 無効にしない限り、レジストリの設定がメトリクスを送信する; 単独の MCP リポジトリはアーカイブ済みで、現在のインストール方法はドキュメントで確認が必要.
Semgrep MCPは誰に向いているか？: AI が書いたコードにも、人間のコードと同じ静的解析の関門を通らせたいすべてのチーム。
チームや本番環境でSemgrep MCPを使うと費用はいくらか？: Community Edition は無料です。AppSec Platform の料金は、Semgrep の料金ページにあるとおりコントリビューター単位です。
Semgrep MCPは企業データを扱っても安全か？: 既定ではコードはローカルで解析され、アップロードされません。レジストリの設定は --metrics=off を指定しない限り、仮名化されたメトリクスを送信します。Guardian はログインとデプロイの詳細のために semgrep.dev と通信します。
Semgrep MCPの代わりになるものは？: 当サイトでレビューした中で最も近い代替はSnyk MCP Server (Snyk Studio)です。

回答確認日：2026年10月24日