Tracecat 押注廉价开源 SOAR 可击败 Splunk 10 万美元的套件；3.8k 星

Tracecat 是面向团队和 AI 代理的开源安全自动化平台：分析师可通过低代码工作流、案例管理和 100 多个连接器，构建警报响应自动化（调查、联系受害者、升级、记录证据），可部署为托管云或自托管。

团队被 SOAR 价格挡在门外，因此一个可在单虚拟机上运行、后来能将提示词转化为自动化的开源引擎，能战胜每年收费 10 万美元的 Splunk SOAR。

创始人曾是数据工程师，不断听到安全圈朋友抱怨被 SOAR 价格挡在门外——Splunk SOAR 每年约 10 万美元——而分析师每天要处理约 100 条警报，每条约需 30 分钟，因此警报常被忽略，数据泄露最终追溯到一周前的旧工单。Tracecat 最初是简陋的 alpha 版：webhook 触发的事件工作流、REST API 集成、JSONPath 解析、条件模块、Tantivy 日志存储和类似 Jira 的案例表，于 2024 年 3 月 25 日展示为“开源安全警报自动化平台”。

Show HN 帖子引发定位争论：创始人捍卫开放式核心商业模式，认为他们能在用户体验上胜过现有厂商，尤其在 AI 功能上；评论者警告免费软件不是商业模式，Tracecat 需要付费墙功能。随后产品向更高层级迈进：截至 2026 年 9 月 4 日的抓取，README 描述为“代理式安全自动化平台”，通过 MCP 由 Claude Code、Codex 和 OpenCode 驱动提示词自动生成工作流，代码原生 Python 同步，使用 nsjail 沙箱执行，基于 Temporal 的持久工作流，以及 AGPL-3.0 下的企业版，需付费 EE 许可，并提供托管云（美国/欧盟）或自托管选项。

仍以开放式核心公司运营：2026 年 9 月 4 日抓取显示 3.8k 星、411 分支、5,736 次提交，提供付费 Tracecat Enterprise 层级以及托管云和自托管部署选项。资料中没有融资、营收、关闭或收购数据。

可验证的关注度：2024 年 3 月 25 日 Show HN 获 264 分和 65 条评论，仓库在 2026 年 9 月 4 日抓取时达 3.8k 星、411 分支和 5,736 次提交。

押注明确且可测试：价格和操作复杂度使 SOAR 对大多数团队遥不可及，因此单虚拟机开源引擎正击中 Splunk 10 万美元 Kubernetes 级套件的软肋。

帖子中实时讨论了商业模式——开放核心对永久免费——而 2026 年 AGPL 加企业许可表明公司选择了哪个答案。

故事有可验证的轨迹：从 alpha 发布到更名后的代理平台，都在同一仓库和 HN 帖子中有据可查。

先攻击现有厂商的价格和操作复杂度，再谈功能：单虚拟机 SOAR 让 Kubernetes 级 10 万美元的套件显得荒谬，开源代码本身就是卖点。

截至 2026 年 9 月 5 日，Tracecat 以开放核心公司运营：2026 年 9 月 4 日抓取 TracecatHQ/tracecat 显示 3.8k 星、411 分支和 5,736 次提交，README 将平台定位为“代理式安全自动化”，提供通过 MCP 的提示词到自动化、100+ 连接器、nsjail 沙箱、基于 Temporal 的持久工作流，以及 AGPL-3.0 下的付费企业版，以托管云（美国/欧盟）或自托管加支持形式出售。资料中未披露融资、营收、关闭或收购信息，因此商业上的押注无法从这些来源验证。