Дефолтный Semgrep на Python-монорепо выдаёт 60–90% ложных срабатываний — три Django-правила из community-репо стабильно флагали легитимный ORM-код. После тюнинга FP падает до 10–20%, экономя 24 инженерных часа в неделю.Semgrep бьёт по AST-паттернам за секунды, CodeQL...
SAST инструменты для CI/CD: Semgrep, CodeQL и SonarQube — настройка правил без alert fatigue
Источник: codeby.net