Semgrep
Static analysis-verktyg där regler skrivs som "code patterns" istället för AST-grafer — $X.execute($SQL) matchar SQL injection-mönster i Python/JS/Go/m.fl.
r2c (Facebook-spinout) 2019, namn-byte till Semgrep 2020. Open source-kärna + kommersiell plattform (Semgrep AppSec Platform) med tusentals förskrivna rules. Snabb (sekunder per repo), False-positive-tolerant.
Default-valet för security SAST i moderna CI/CD. Konkurrenter: SonarQube (mer "code smell" än security), CodeQL (GitHub, kraftigare men brantare), Snyk Code.