Tracecat apuesta a que un SOAR de código abierto y barato supera la pila de 100.000 dólares de Splunk; 3,8k estrellas

Tracecat es una plataforma de automatización de seguridad de código abierto para equipos y agentes de IA: los analistas construyen automatizaciones de respuesta a alertas (investigar, contactar a las víctimas, escalar, registrar evidencia) con flujos de trabajo de bajo código, gestión de casos y más de 100 conectores, desplegable como nube gestionada o autoalojada.

Los equipos quedan excluidos por precio del SOAR, así que un motor de código abierto que corre en una sola VM —y que después convierte prompts en automatizaciones— puede ganar donde Splunk SOAR cobra 100.000 dólares al año.

Los fundadores eran ingenieros de datos que oían una y otra vez a amigos de seguridad quejarse de quedar excluidos por precio del SOAR —Splunk SOAR cuesta aproximadamente 100.000 dólares al año— mientras los analistas enfrentan unas 100 alertas al día a unos 30 minutos cada una, de modo que las alertas se abandonan y las brechas se remontan a tickets de hace una semana. Tracecat comenzó como un alfa mínimo: flujos de trabajo de eventos activados por webhook, integraciones con API REST, análisis con JSONPath, bloques condicionales, almacenamiento de logs con Tantivy y una tabla de casos tipo Jira, presentado el 2024-03-25 como «una plataforma de automatización de código abierto para alertas de seguridad».

El hilo de Show HN se convirtió en un debate de posicionamiento: los fundadores defendieron un modelo de negocio de núcleo abierto, argumentando que podían iterar más rápido que los incumbentes en UX, especialmente en funciones de IA; los comentaristas advirtieron que el software gratuito no es un modelo de negocio y que Tracecat tendría que poner funciones tras un muro de pago. Después el producto subió en la pila: en el rastreo del 2026-09-04 el README describe «la plataforma de automatización de seguridad agéntica» con prompts a automatizaciones impulsados desde Claude Code, Codex y OpenCode vía MCP, sincronización nativa de código en Python, ejecución en sandbox con nsjail, flujos de trabajo duraderos sobre Temporal, y una Enterprise Edition bajo AGPL-3.0 con licencia EE de pago y opciones de Cloud gestionada (EE. UU./UE) o autoalojamiento.

Sigue funcionando como empresa de núcleo abierto: el rastreo del 2026-09-04 muestra 3,8k estrellas, 411 forks, 5.736 commits, un nivel de pago Tracecat Enterprise y opciones de despliegue en Cloud gestionada además de autoalojado. El material no contiene datos de financiación, ingresos, cierre ni adquisición.

Atención verificable: el Show HN del 2024-03-25 obtuvo 264 puntos y 65 comentarios, y el repositorio alcanzó 3,8k estrellas, 411 forks y 5.736 commits en el rastreo del 2026-09-04.

La apuesta es nítida y comprobable: el precio y la complejidad operativa mantienen el SOAR fuera del alcance de la mayoría de los equipos, así que un motor de código abierto de una sola VM ataca la pila de 100.000 dólares de nivel Kubernetes de Splunk donde es más débil.

El hilo muestra la cuestión del modelo de negocio discutida en tiempo real —núcleo abierto frente a gratuito para siempre— y la licencia AGPL más Enterprise de 2026 muestra qué respuesta eligió la empresa.

La historia tiene un arco verificable desde el lanzamiento alfa hasta una plataforma agéntica rebautizada, todo documentado en el mismo repositorio y el mismo hilo de HN.

Atacar el precio y la complejidad operativa del incumbente antes que sus funciones: un SOAR que corre en una sola VM hace que la pila de 100.000 dólares de nivel Kubernetes parezca absurda, y el código abierto hace la venta.

A fecha de 2026-09-05 Tracecat funciona como empresa de núcleo abierto: el rastreo del 2026-09-04 de TracecatHQ/tracecat muestra 3,8k estrellas, 411 forks y 5.736 commits, y el README presenta la plataforma como «automatización de seguridad agéntica» con prompts a automatizaciones vía MCP, más de 100 conectores, sandbox con nsjail, flujos de trabajo duraderos basados en Temporal, y una Enterprise Edition de pago bajo AGPL-3.0, vendida como Cloud gestionada (EE. UU./UE) o autoalojada con soporte. El material no contiene revelaciones de financiación, ingresos, cierre ni adquisición, así que la mitad comercial de la apuesta no es verificable a partir de estas fuentes.