「フリーライドにはもう耐えられない」 OSSコミュニティーが怒りの提言？：セキュリティニュースアラート

OpenSSFらは、オープンソース基盤の持続可能な運営に関する共同声明を発表した。オープンソースのコミュニティーは少数の善意と不安定な財源に依存し、持続性が危ういと警鐘を鳴らしている。

[後藤大地，ITmedia]

　Open Source Security Foundation（OpenSSF）は2025年9月23日（現地時間）、オープンソース基盤の持続可能な運営に関する共同声明を発表した。

　JavaやJavaScript、Python、Rust、PHPといった多様な言語で開発される現代アプリケーションが依存するパッケージレジストリー（Maven Central、PyPI、crates.io、Packagist、open-vsxなど）が、世界的なソフトウェア供給網の中核を担っているとされ、このような仕組みがごく少数の団体や企業の支援や善意に大きく依存しており、現状のままでは持続性が危ういと同団体は警鐘を鳴らしている。

「無限で無料」という誤解が生む危機　持続に向けたOpenSSFの提案

　声明は、Eclipse FoundationとOpenJS Foundation、Python Software Foundation、Rust Foundation、Alpha-Omega、Packagist、Sonatypeとの連名で発表された。これらの団体は、毎月数十億から数兆規模のダウンロードを処理しているにもかかわらず、資金面では助成金や寄付、スポンサーシップなど不安定な財源に頼っていると説明している。

　パッケージレジストリーだけでなく、ビルドやテスト、解析、配布を実施するためのシステムや、グローバルに展開するコンテンツデリバリーネットワーク（CDN）、クラウドを中心とした計算資源やストレージといった要素も不可欠とされている。しかし、運用コストの多くは少数の提供者が肩代わりしている構図が続いている。商用規模の利用が大半を占めるにもかかわらず、多くの企業がこれらの基盤維持にはほとんど資金を拠出していない点が問題視されている。

　声明では現代の期待水準が過去と大きく異なる点も強調されている。依存関係解決や配布の即時性、署名や改ざん防止、継続的インテグレーション（CI）パイプラインにおける安定性、セキュリティ対応の即応性、政府や企業による監査・追跡要件などが標準となっている。加えて、欧州連合（EU）のサイバー・レジリエンス法（CRA）のような新たな規制が文書化やコンプライアンス負担を増大させている。

　自動化されているCIシステムや大規模な依存関係スキャナー、コンテナビルドなどはインフラに過剰な負荷をかけている。生成AIやエージェント型AIの普及により、無駄なアクセスが膨張し、既存の課題を悪化させていると説明した。利用者が「無限で無料の基盤」と誤解することが浪費的な利用につながっていると指摘している。

　加えて、一部のパブリックレジストリーはオープンソースだけでなく、商用ソフトウェアの配布にも活用されている。SDKやバイナリを依存パッケージとして提供する手法は効率的だが、本来の目的のコミュニティー主導のオープンソフトウェア配布とは異なる形態となっている。商用利用を全面的に否定するものではないとしつつも、規模に見合った責任と支援が不可欠としている。

　声明では持続可能性の確保に「利用と責任の均衡」が必要だとしている。具体的には、次のような取り組みが提案された。

• 商用利用や戦略的利益の規模に応じた資金拠出
• 個人や小規模利用には無償枠を残しつつ、大量利用者に対し性能や信頼性を提供する段階的アクセスモデル
• 利用統計など、商業的に有用な付加価値機能の提供

　これらはインターネット帯域やクラウド利用のように既に他の分野で一般化している仕組みであり、過激な提案ではないと説明している。オープン基盤を閉ざすことではなく、将来への持続可能な状態を維持するための投資と位置付けている。

　維持管理者への長期的支援の不足も大きな課題だ。多くの重要プロジェクトの管理者は無償かつ個人的な時間で対応しており、負担が過大となっている。もし基盤インフラへの資金が利用規模に応じて確保できれば、財源を管理者支援に割り振れる余地が広がるとしている。

　現時点は危機的状況ではないが、現行モデルのままでは将来の崩壊につながりかねないと警告している。産業界や政府、コミュニティーが連携し、責任と利用を調和させることで強靱で安全かつ開かれた仕組みを維持できるとOpen Source Security Foundationは述べる。この呼びかけは出発点であり、エコシステムごとに適切な方法を模索する必要があるとまとめている。声明は、現代のソフトウェアが依存する基盤の持続可能性が、今まさに分岐点にあることを示している。