Tracecat 押注：便宜的开源 SOAR 能胜过 Splunk 要价 10 万美元的技术栈；获 3.8k 星

Tracecat 是一个面向团队与 AI 代理的开源安全自动化平台：分析师可用低代码工作流、案件管理与 100 多个连接器来构建告警响应自动化（调查、联系受害者、升级、记录证据），可部署为托管云服务或自托管。

各团队因价格过高而被排除在 SOAR 之外，因此一个能在单台虚拟机上运行、之后还能把提示词转化为自动化的开源引擎，可以在 Splunk SOAR 每年收费 10 万美元的领域取胜。

创办人原本是数据工程师，不断听到安全圈的朋友抱怨因价格过高而被排除在 SOAR 之外——Splunk SOAR 每年费用约为 100,000 美元——而分析师每天面对约 100 条告警、每条约需 30 分钟，导致告警被搁置，入侵事件追溯起来往往源于一周前的工单。Tracecat 起初只是一个极简的 alpha 版本：由 webhook 触发的事件工作流、REST API 集成、JSONPath 解析、条件区块、Tantivy 日志存储，以及类似 Jira 的案件表，并于 2024-03-25 以「一个面向安全告警的开源自动化平台」之名展示。

Show HN 讨论串演变成一场定位之争：创办人捍卫开放核心的商业模式，主张他们能在用户体验上比现有厂商迭代得更快，尤其是在 AI 功能方面；评论者则警告，免费软件不是一种商业模式，Tracecat 终究需要把功能设为付费墙。产品随后向上层推进：到 2026-09-04 的抓取时，README 将其描述为「代理式安全自动化平台」，具备由 Claude Code、Codex 与 OpenCode 通过 MCP 驱动的提示词转自动化、代码原生的 Python 同步、以 nsjail 实现的沙箱执行、基于 Temporal 的持久工作流，以及依 AGPL-3.0 授权的企业版，提供付费 EE 授权与托管 Cloud（美国／欧盟）或自托管选项。

仍以开放核心公司的形式运营：2026-09-04 的抓取显示 3.8k 星、411 个 fork、5,736 次提交，以及付费的 Tracecat Enterprise 层级与托管 Cloud 加自托管部署选项。这些材料未包含任何融资、营收、停运或收购数据。

可验证的关注度：2024-03-25 的 Show HN 获得 264 分与 65 条评论，而该仓库到 2026-09-04 的抓取时达到 3.8k 星、411 个 fork 与 5,736 次提交。

这项押注明确且可检验：价格与营运复杂度使大多数团队无法触及 SOAR，因此一个单台虚拟机上的开源引擎，正好攻击 Splunk 那套 10 万美元、Kubernetes 等级技术栈最薄弱之处。

讨论串显示商业模式的问题被即时辩论——开放核心对永久免费——而 2026 年的 AGPL 加企业版授权显示公司选择了哪个答案。

这个故事有一条可验证的脉络，从 alpha 发布到重新定位为代理式平台，全都记录在同一个仓库与 HN 讨论串上。

在功能之前先攻击现有厂商的价格与营运复杂度：一个能在单台虚拟机上运行的 SOAR，会让那套 Kubernetes 等级、要价 10 万美元的技术栈显得荒谬，而开放的代码本身就完成了销售。

截至 2026-09-05，Tracecat 以开放核心公司的形式运营：2026-09-04 对 TracecatHQ/tracecat 的抓取显示 3.8k 星、411 个 fork 与 5,736 次提交，而 README 将该平台呈现为「代理式安全自动化」，具备通过 MCP 的提示词转自动化、100 多个连接器、nsjail 沙箱、基于 Temporal 的持久工作流，以及依 AGPL-3.0 授权的付费企业版，以托管 Cloud（美国／欧盟）或含支持的自托管形式销售。材料中未包含任何融资、营收、停运或收购的披露，因此这项押注的商业面无法从这些来源验证。