誰もオープンソースに金を払わない、我々は強制できる

オープンソースは誰も支払わない。我々は彼らに支払いを強制できる。

オープンソースの経済学についてブログ記事を書くのが良い考えだと思ったのは2013年が最初なので、この記事は長い間準備されてきました。今日までで最も近かったのは2022年で、iOSのメモに思考の奔流を書き殴り、「何も機能しない」という結論に至りました。そしてそれはさらに4年間放置されました。「何も機能しない」というのは、5000語で語るにはあまりにも憂鬱だったからです。今、ついにアイデアが浮かびました。しかし、そこに至るには5000語が必要なので、それだけの時間がない方は、レジストリに関する部分にスキップしてください。

オープンソースは安定した結果を持つゲームであり、その結果は無料が勝利することだ

以前、進化生物学のモデルであるタカとハトについて書きました。資源を奪い合う動物の集団がいます。一部は争い（タカ）、一部は共有します（ハト）。タカだけの集団は不安定です。全員が常に傷つき、最初に現れた2羽のハトはお互いに協力し、他の全員を出し抜きます。ハトだけの集団も不安定です。最初に現れたタカは、全員と競争し、毎回勝ちます。安定しているのは、両方のタイプが混在している状態であり、その比率は、行動を変えても得をしないようなもので、誰も行動を変えません。その混合状態を進化的に安定した戦略（ESS）と呼びます。重要なのは「安定」という言葉です。それは最良の戦略ではありません（議論の余地がありますが、誰も傷つかないハトが最良でしょう）。それは単に集団が到達し、離れることのできない戦略なのです。私はこれをソフトウェアを考える上で有用だと感じています。なぜなら、ソフトウェアにもタカとハトがいるからです。

クローズドソースはタカです。それは競争します。コードを非公開にし、誰も持っていないものに対してプレミアムを請求し、その状態を維持するために戦います。オープンソースはハトです。それは協力します。コードを無料で提供し、他の全員がコードを無料で提供することから得られる利益を受け取ります。彼らが競い合っている資源は、最終的にはお金ですが、最初はユーザーや開発者の注目として現れます。

私たちが到達した均衡は非常に特殊です。あるソフトウェアの進化的に安定した戦略は、「誰でも、商業目的を含め、あらゆる目的で、無料でこのソフトウェアを使用できる」ということです。 MIT、BSD、Apache、何も要求しないライセンスです。少しでも寛容でないハトになろうとしたプロジェクトは、完全なハトであり続けたプロジェクトに敗北しました。多くの例を挙げることができます。

1. 2017年、Apacheソフトウェア財団はReactのBSD+PatentsライセンスをApacheプロジェクトから禁止し、WordPressはReactをドロップすると発表しました。数週間以内にFacebookは、Reactが死ぬのを見る代わりにMITライセンスに変更しました。
2. 2021年、ElasticはAmazonがElasticsearchをサービスとして販売するのを阻止するために、ソース利用可能ライセンスに変更しました。AmazonはそれをOpenSearchとしてフォークし、そのフォークはLinux Foundationに数千人の貢献者とともに収まり、2024年にElasticは静かにオープンソースライセンスに戻りました。
3. 2023年、HashiCorpもTerraformで同様のことを行いました。OpenTofuフォークはLinux Foundationに移り、HashiCorpはIBMに買収されました。
4. 2024年3月、Redisも同様でした。Valkeyフォークは1週間以内にすべてのクラウドプロバイダーを獲得し、2025年5月にRedisはAGPLに戻りました。CEOは、その変更が彼らに多大なコストをかけたことを認めています。

ライセンスレベルでオープンソースに課金しようとした企業は、まともに運営されているフォークに対して持ちこたえたことはありません。そして、それはイデオロギーのせいではないと思います。それらの企業の経営者は、自分たちのコードに課金したいと思っており、フォークする人々の多くは、抽象的な自由をそれほど気にかけていません。それは市場の構造によるものです。ディスラプションとは、本来の意味では、はるかに劣悪で安価な製品が市場の底辺を席巻し、徐々に改善されて全体を食い尽くしていくプロセスです。そして、そのプロセスが製品が完全に無料になるまで繰り返されるのを止めるものはありません。ソフトウェアは、ソフトウェアが存在する限り、このようにディスラプトされてきました。その結果、市場は2つの半分になります。ほぼ全員が使用する巨大な安価な半分と、ほぼすべての利益を生み出すはるかに小さい高価な半分です。Androidは市場シェアを持ち、iOSは利益を持ち、どちらも巨大な成功です。どの数字を見ているかによります。無料はシェアを獲得し、クローズドは利益を獲得し、どちらも勝利します。

安定した結果は、人々が燃え尽きることで成り立つ

これまでは問題ありませんでした。フリーソフトウェアが勝ち、クローズドソースソフトウェアがお金を稼ぎ、誰もがニッチを持っています。問題は、フリー層が内側からどのように見えるかです。

Tideliftの2024年の調査によると、オープンソースのメンテナーの60パーセントは、その仕事に対して報酬を受け取っていません。これは2023年、2021年も同じ数字でした。無給のメンテナーのうち、61%は一人で作業しています。メンテナーのほぼ60%が辞めたか、辞めることを考えており、その理由はあなたが推測する通りのものです。生活がある、興味を失った、燃え尽きた、などです。

それらの人々が支えているソフトウェアの量は、ばかげています。Sonatypeは2023年に120万件のオープンソースプロジェクトを調査し、そのうち11%が積極的にメンテナンスされていることを発見しました。Linux FoundationのCensus IIは、最も使用されている50のパッケージのコードの80%以上を136人の開発者が書いたことを発見しました。ハーバード大学の研究では、オープンソースが消滅した場合、企業はそれを置き換えるために8兆8000億ドルを費やす必要があると推定し、開発者の5%がその価値の96%を生み出していることを発見しました。これは、JavaScriptエコシステムの全体的な個性と言えるでしょう。何千もの小さなパッケージがあり、そのうちの1つが、それらにビジネスを賭けている企業の依存関係ツリーの底辺に座っています。私はnpmで5年間これを目の当たりにし、その状況に常に警鐘を鳴らしていました。

誰もが今使う例はxzです。2024年、事実上すべてのLinuxマシンに存在する圧縮ライブラリに、バックドアが仕込まれていたことが判明しました。これは、2年間かけて、非常に忍耐強く、メンテナンスしていた無給の人物をソーシャルエンジニアリングで操った偽の貢献者によって挿入されたものでした。メンテナーは、自分が苦労しており、追いつけないと公に述べていました。そして、誰かが彼を資金援助する代わりに、誰かが彼を育てました。バックドアは、SSHが通常より0.5秒長くかかることに気づいたMicrosoftのエンジニアによって発見されました。これは、あなたが頼りにしたい防御の種類ではありません。

現在、この話を語る一般的な方法は「システムが壊れている」ですが、私はそれが正しくないと思います。そして、その区別は重要です。システムは壊れているのではありません。それは、私たちが集合的に許容することに決めた人的コストのレベルで安定しているのです。 メンテナーが燃え尽き、誰かがそれを引き継ぎ、彼らが燃え尽き、そしてまた誰かが引き継ぎます。連続的な燃え尽き寸前は、均衡のバグではなく、均衡そのものです。オープンソースは非常に古く、もしこれが崩壊するなら、とっくにそうしていたはずです。これは血で動く機械であり、進化的に安定した戦略であるため、私たちはそれを変える力を持ちませんでした。

変わったのは速度、速度だけだ

しかし、問題は悪化しているように感じませんか？安定したシステムが以前よりも悪い結果を生み出しているなら、入力の1つが動いたのです。動いたのは速度です。

Linuxはゆっくりと蓄積されたため、誰もあなたを待っていなかったので、数年間、夜間や週末にカーネルの一部をメンテナンスすることができました。その後、Webが登場し、npmが登場し、約10年間で何百万もの小さなモジュールが出現しました。そのうちのどれかが、公開から数週間以内に誰かの本番システムにとって負荷をかけるものになる可能性がありました。ソフトウェアは、どんな組織もそれに気づくよりも速く重要になりました。ましてや資金提供するなんて。一方、セキュリティも速くなりました。人気のあるライブラリのバグは、数日以内に悪用され、一度に何万もの企業に影響を与えます。そのため、人気のあるパッケージをメンテナンスするコストは大幅に上昇しましたが、それをメンテナンスするペイオフは、ゼロドルと温かい気持ちという、まったく同じままでした。

夜間や週末では十分ではなくなりましたが、人々はそれでもそれを続けました。なぜなら、彼らは常にソフトウェアを書くつもりだったからです。開発者は、歌手が歌うようにソフトウェアを書きます。つまり、誰も聞いていなくても歌うように、彼らはソフトウェアを書きます。それは解決すべき問題ではなく、システム全体を機能させるものです。開発者が書くソフトウェアを減らす、あるいは寛容さを減らすことを含む、提案された解決策は私にとって論外です。問題は、人々が無料でソフトウェアを書くことではありません。問題は、最も有用なソフトウェアを無料で書いた人々が、報酬として2番目の無給の仕事を得るように状況を整えてしまったことです。

私たちが試したすべては、お金を動かしたが、均衡を動かさなかった

これが憂鬱な部分であり、4年間先延ばしにしてきた部分なので、手早く済ませましょう。私たちが試したことは以下の通りです。

1. チップ。 GitHub Sponsorsは2026年7月に総支払額1億ドルを突破しました。これは大金のように聞こえますが、8兆8000億ドルと比較するとそうではありません。チップは常に分配される方法で分配されます。それはべき乗則です。数人の有名な人々はうまくいき、中央値のスポンサー付きメンテナーはランチ代程度しか稼ぎません。Open Collective、Patreon、Ko-fiも同じ形です。
2. 財団。 Linux Foundation、Apache、OpenJS、Python Software Foundation。これらは実際の予算を持つ実際の組織であり、主にスタッフ、イベント、インフラストラクチャに資金を提供しています。それは非難ではありません。会議を運営する誰かが必要です。しかし、Tideliftの調査では、メンテナーの3%しか財団から、1%しか政府から資金を得ていません。財団は、漕ぐ人々にお金を払うのではなく、舵を取るために企業が支払うものです。
3. 企業の寛大さ。 Googleのオープンソースオフィス、MicrosoftのFOSSファンド、Sentryのオープンソースプレッジ。これは、企業に開発者あたり年間2,000ドルを寄付するよう求めるもので、2024年に約130万ドルのコミットメントで開始されました。私はプレッジを気に入っています。それはこのリストの他のすべてと同じ欠点を持っています。つまり、それは慈善であり、慈善は数兆ドルにはスケールしません。Googleで長年、OpenSSFでメンテナーにお金を渡そうとしていたDan Lorencは、彼らが渡すお金よりも多くのお金があり、それは何も解決しなかったと述べています。私はそれを1つの失敗した試みであり、自然法則ではないと考えていますが、失敗した試みのリストには加わります。
4. 有料セキュリティ。 Tideliftのモデル全体は、メンテナーにパッケージのセキュリティ維持のために支払い、その保証を企業に販売するというものでした。これは良いアイデアであり、2024年12月にSonarに買収されました。これは、単独で十分な買い手を見つけられなかった良いアイデアに起こることです。OpenSSFのAlpha-Omegaは、年間5〜600万ドルを、主に財団内のセキュリティスタッフの資金として提供しており、それは賢明ですが小規模です。
5. 政府。 ドイツのSovereign Tech Fundは素晴らしいアイデアです。納税者のお金で、何の条件もなく、重要なインフラストラクチャのメンテナンスに直接資金を提供し、2022年以降、60以上のプロジェクトに2400万ユーロ以上を提供しています。しかし、それは1つの基金であり、約190カ国のうちの1つで、年間約2000万ユーロを費やしています。EU全体のバージョンは2028年に始まる予算サイクルの提案です。
6. Mozilla。 Mozillaは、Googleの検索収益から吸い上げられたストローで資金提供されています。Mozillaの誰もがこれが問題であることを知っており、だからこそ彼らは多様化を試み続けていますが、管理できていません。（一時、MozillaとGoogleはサンフランシスコの同じビルに、異なるフロアにいました。）「誰かの収益ストリームを見つけて、それにストローを差し込む」ということを一般化することはできません。なぜなら、十分な収益ストリームがないからです。
7. ライセンス、これはすでにカバーしました。デュアルライセンス、ソース利用可能、「フェアソース」：それらのどれもが少しタカになろうとするハトであり、それらのどれもが隣の完全なハトに敗北します。

これらのすべてに共通するものを見てください。すべてが任意です。企業は寄付を求められ、一部は寄付し、ほとんどは寄付せず、寄付しない企業は寄付する企業とまったく同じソフトウェアを手に入れます。慈善はスケールせず、誰も命令を発する権限を持っていません。私たちは30年間、企業にオープンソースの支払いをお願いしてきましたが、お願いすることは完全にテストされたと考えることができると思います。

企業はオープンソースに支払っている、ただ、それを書いた人々には支払っていない

私がこの問題を間違って考えていたことに気づかせてくれたのは、このことです。企業はすでにオープンソースにかなりの金額を支払っています。しかし、メンテナーには支払っていません。

JFrogは、ビルドサーバーと公開パッケージレジストリの間に配置されるプライベートミラーであるArtifactoryを販売しています。JFrogは2025年に5億3200万ドルの収益を上げ、24%増加しました。依存関係の脆弱性をスキャンするSnykは、年間約3億2600万ドルです。すべてのコンテナイメージのソースとなるレジストリを実行するDockerは、2億700万ドルです。オープンソースイメージの強化版を販売するChainguardは、約4000万ドルから1年間で1億ドルの目標に達しました。Sonatypeは非公開ですが、JavaビルドがプルするすべてのレジストリであるMaven Centralを実行し、その前に配置するミラーであるNexusを販売しています。Sonatype自身の数字によると、Maven Centralのトラフィックの86%はクラウドプロバイダー、つまり企業から来ています。Sonar（現在はTideliftを所有）、Socket、その他のサプライチェーンセキュリティ市場を加えると、年間10億ドルをはるかに超えます。

それらのすべてのお金は何のためでしょうか？マーケティングを剥ぎ取ると、これらの企業のどれもが同じものを売っています。それは無料コードの信頼性の高い供給です。レジストリがダウンしても、ビルドは壊れません。依存関係はキャッシュされ、スキャンされ、署名され、主張通りのものであることが証明されます。次のLog4Shellが発生した場合、2000のサービスのうちどれが影響を受けたかを1時間以内に知ることができます。それは実際の製品が実際の問題を解決しており、企業は熱狂的に購入しています。「私たちが依存している無料のものが壊れているか悪意がある可能性があり、それを知ることができない」というのは、調達部門がお金の使い方を知っている種類の問題だからです。

私はこれらの企業が悪役だとは思っていません。それらのいくつかは私が好きな人々によって運営されています。彼らは実際の問題を解決しています。つまり、企業は自分たちが書かず、検査できないコードに依存できる必要があるということです。彼らは単にそれを間違ったレイヤーで解決しています。彼らはメンテナーに対する保険を販売していますが、メンテナーはコードをより安全にできるチェーン上の唯一の人物であり、彼女は何も得ていないのに、2層上の企業が彼女がやったかどうかを伝えるために支払われています。

これが私の問題に対する見方をすべて変えました。長年、私は制約はお金の供給だと仮定していました。企業はオープンソースに支払うことは決してなく、どんなメカニズムも彼らに支払わせることはできないだろうと。そしてLorencの話はその仮説に合致します。しかし、JFrogの請求書はそうではないことを示しています。企業はオープンソースに喜んで支払います。それは「サプライチェーン」という退屈な項目として現れるときです。お金の供給が決して問題ではありませんでした。問題は、それがどのようにキャプチャされているかです。

無料はコードゲームに勝つが、デフォルトはサプライゲームに勝つ

では、なぜESSはここでは適用されないのでしょうか？無料が常に勝つなら、なぜ無料ミラーがJFrogを食い尽くさなかったのでしょうか？

なぜなら、2つのゲームが行われており、それぞれに異なる勝者がいるからです。コードゲームでは、資源はソフトウェアそのものであり、無料が常に勝ちます。なぜなら、誰でもコードをコピーできるため、課金しようとする試みは、それをコピーしないもの（フォーク）を招くからです。サプライゲームでは、資源はコードの出所を考える必要がないことであり、そのゲームはデフォルトであるものが勝ちます。

証拠を見てください。レジストリを正常にフォークできた人はいません。npm、PyPI、Docker Hubの無料ミラーは存在し、実行は容易で、場合によってはコマンド1つで利用できます。それにもかかわらず、企業はJFrogに年間5億ドルを支払っています。Red HatはデスクトップをUbuntuに失いました。Ubuntuは裕福な人物が無料で提供することで資金提供されていました。そして決定的に負けました。ハトがコードゲームに勝ちました。Red Hatはその後、IBMに340億ドルで売却され、年間60億ドル以上の収益を上げています。企業に同じ無料コードの供給を、電話番号付きで販売しています。誰でも同じコードを無料で入手できたはずであり、実際に多くの人がそうしました。しかし、非常に多くの企業がRed Hatに支払いました。

Dockerは、最近公に起こったため、最も明確な例です。2020年11月、Docker Hubは匿名および無料のプルをレート制限し始めました。2021年8月、Docker Desktopは、従業員250人以上または収益1000万ドル以上の企業にとって有料製品になりました。個人、小規模企業、オープンソースプロジェクトにとっては無料のままです。無料が常に勝つなら、無料の代替手段がそれを食い尽くしたはずです。Podmanとcontainerdは存在し、無料であり、完全に問題ありません。それにもかかわらず、Dockerの収益は、2020年の約1200万ドルから2021年の5000万ドル超、そして2024年には2億700万ドルに増加し、100万以上の有料シートがあります。（Dockerはまた、プルごとの従量課金制を発表し、その後2025年に開発者の反乱を受けてそれをキャンセルしました。これは、どのような課金が機能するかを正確に示しています。ダウンロードごとではなく、企業に請求することです。CIが再実行されるたびに請求額が増加することを誰も望んでいません。）

無料はコードゲームに勝つが、サプライゲームはデフォルトであるものが勝ち、デフォルトは課金できる。 レジストリは、2つのゲームが接触するシステム全体で唯一の場所です。なぜなら、それらは無料コードがサプライになる場所であり、ライセンスとは異なり、レジストリはコピーによって回避することができません。なぜなら、それは法的制限ではなく、非常に便利なインフラストラクチャだからです。彼らはそれを回避したくありません。回避するのは、支払う価値のある面倒な作業です。

レジストリ層で真剣に試みた人はいない

ここで誰かが「これは試されなかったのか？」と言うでしょう。答えは「まあまあ」であり、失敗した方法は教育的です。「レジストリ層」を狭く定義します。つまり、誰もが何かをダウンロードしているドメインを所有している人です。その定義では、このリストのほとんどはカウントされません。

2019年8月、Standardを含む約100個のnpmパッケージをメンテナンスしていたFeross Aboukhadijehは、npm install中にターミナルにスポンサーメッセージを表示し始めました。開発者はそれを嫌い、スポンサーは数日以内に撤退しました。Ferossはそれを失敗した実験としてまとめました。npmの対応は、利用規約でターミナル広告を禁止し、npm fundをリリースしました。これは寄付リンクのリストを表示します。これが、実際のレジストリが資金調達に介入した唯一の機会であり、それによってお金を得る方法を取り除き、ハイパーリンクに置き換えました。それは非常に弱いお茶です。npmにいた間、私はそれ以上のことを試みる勇気はありませんでしたが、試みるべきでした。

Flossbankは、2020年から2022年まで、npmとyarnをラップし、少額の寄付または広告収入を収集し、インストールしたものの依存関係ツリー全体に分割しました。これは、私がこれから提案することの支払い部分であり、構築され、機能していました。それは閉鎖され、創設者のポストモーテムは、その理由について正直です。それはオプトインであり、オプトインは「次の人が払わないならなぜ私が払う必要があるのか」という理由で死にます。Flossbankもレジストリではなく、レジストリの前にインストールするものでした。これは十分な摩擦があるため、誰も気にしませんでした。

Ruby Togetherは、2015年から2022年まで、RubyGemsとBundlerの作業に資金を提供するために企業から会員費を徴収しました。それは控えめに機能していましたが、Ruby Centralに統合されました。Ruby Centralは、1つの大口スポンサーへの依存が2025年の買収につながり、RubyGemsリポジトリの買収、多くの辞任、そして翌春に数年間で最悪のレジストリ攻撃に直面したチームにつながりました。それはパッケージのためではなく、レジストリ自体の運用資金であり、任意であり、1つの大口ドナーがあったという、3つの別々の失敗要因でした。

したがって、パターンは次のとおりです。任意のものすべてがフリーライダーによって死に、任意ではなかったもの（Docker）は機能し、お金を自分自身のために保持しました。ドメインを所有している人は誰も、サプライのために企業に課金し、サプライを価値あるものにした人々に支払ったことはありません。

レジストリは企業に課金し、メンテナーに支払うべきだ

これが提案です。3つの部分からなり、どれも新しくはありません。新しいのは、それらを同じ場所に置くことです。

第一に、レジストリは企業の利用を計測し、課金します。彼らはすでにそれを計測しています。npm、PyPI、Docker Hub、Maven Centralはいずれもレート制限、認証、エンタープライズティアを備えており、それらの前に配置されるミラーベンダーはシートごとに請求します。Dockerのルールは正しいルールです。個人、小規模チーム、学生、オープンソースプロジェクトは何も支払わず、何も気づきません。ある規模以上の企業は、今日のJFrogやDockerのサブスクリプションと同じレベルで価格設定されたサブスクリプションを取得します。つまり、調達部門が会議をスケジュールせずに署名するレベルです。これらの企業のほとんどにとって、それは新しいコストでさえありません。なぜなら、彼らはすでにそれを支払っているからです。請求書に新しい行が追加されるだけです。

第二に、その収益の固定スライスはロイヤリティであり、パッケージに支払われます。レジストリにではなく、財団にではなく、申請フォーム付きの助成金委員会にではありません。支払う顧客の依存関係ツリーに含まれるすべてのパッケージに、支払う顧客がそれに依存する数に応じて重み付けされ、毎月自動的に、儀式も感謝のメールもなく、プロラタで支払われます。なぜなら、ポイントは誰もがお金が動くために何もする必要がないということだからです。私の2022年のメモには、編集せずに残すこのことについての行があります。「お金は一方の端から入り、もう一方の端から出なければならない。これを行うために暗号を使用する必要はない。それは悪いだろう。データベースを使用するだけでよい。」支払い部分は難しくありません。thanks.devは今日、依存関係ツリー全体にわたるプロラタ配布を行っており、Flossbankは2020年に行いました。誰もそれを収集部分に接続したことはありません。

第三に、これを行うのはドメインを所有している人々です。重要なレジストリは約12個あります。すべてのメンテナーは、すでに自分が気にかけているレジストリのアカウントを持っており、名前が付いており、支払いの方法が現在またはフォームフィールド1つで利用可能です。請求側は有限です。数千の大企業があり、そのほとんどはすでにサプライチェーンの誰かの顧客です。以前の試みのうち、最も難しい2つの問題、つまり支払う人を見つけることと、支払われる人を見つけることは、すでに解決されており、同じデータベースによって解決されています。

npmを作成したIsaac Schlueterは、サポートの請求をやめ、アクセスに対して請求すべきだと主張しています。営利企業であれば、支払わずにコードを入手できない、と。私はその形状に同意しますが、料金所を移動させたいと思います。なぜなら、ライセンスに置くとフォークされ、レジストリに置くとJFrogの収益が得られるからです。GitHubはnpmとGitHub Sponsorsの両方を所有しており、このすべてを1つの建物内に持っており、今四半期にnpmのエンタープライズ顧客向けに有効にすることができます。JFrogとSonatypeはすでに企業にサプライの請求を行っており、明日その項目を追加できます。私は5年間npmを運営していましたが、配管が難しい部分ではないと約束します。

「企業は無料ミラーに切り替えないのか？」

一部の企業は切り替えるでしょうが、それはDockerの場合と同じ理由で重要ではありません。独自のミラーを実行する手間を惜しまない企業は、今日すでに無料でそれを行うことができます。しかし、代わりにJFrogに支払っています。なぜなら、彼らが支払っているのは、それを行う必要がないためだからです。離れる顧客は、何も支払うつもりはなかった人々であり、彼らはすでに誰かのミラーを通じてフリーライダーをしていました。Dockerはミラーにプルをいくつか失いましたが、収益を15倍に増やしました。

「これは単なるTideliftではないのか？」

いいえ、そしてその違いは重要な部分です。Tideliftは別個の購入決定でした。新しいベンダーが新しいピッチで予算の新しい項目を獲得する必要がありました。ミラー請求書へのロイヤリティは、まったく決定ではありません。調達部門の誰もそれを決定とは見なしません。Tideliftは、企業がまさにこれに対して支払うことを証明しましたが、それは尋ねられる必要があったレイヤーで証明しました。

「人々はそれを悪用しないのか？」

はい、します。これはSpotifyモデルであり、Spotifyの問題を継承しています。ストリームごとに支払うと、人々はストリーミングファームを構築し、依存関係ごとに支払うと、人々は互いに依存する何千ものジャンクパッケージを公開し、それらを誰かのロックファイルに入れようとします。生のダウンロードではなく、支払っている顧客の依存関係ツリーでの存在量で重み付けするため、はるかに困難になります。そして、一部の不正行為は、助成金委員会を持たないコストとして受け入れることになります。世界のすべての支払いシステムには不正行為率があります。メンテナーに支払う現在の不正行為率は100%です。なぜなら、私たちはそれを行わないからです。

なぜこれが他の何よりも機能するのか

これが機能すると思う理由は、それが均衡の変化を求めていないからです。すべての戦略はそのまま維持されます。変化するのは、測定されるものだけです。

ライセンスは変更されないため、何もフォークされず、誰も「オープンソース」の意味について議論する必要はありません。コードゲームは依然として無料が勝ちます。これは正しい結果であり、歌手は歌い続けます。

これは慈善でも命令でもありません。誰も寄付を求められず、最も無謀な企業が anyway 無視する法律によって誰も支払いを命じられていません。企業はすでにサプライに支払っています。彼らがすでに支払っている請求書に項目が追加されます。

そして、それはロングテールに支払います。これは、他のすべてのメカニズムが見落としている集団です。チップは有名人に支払われ、財団はスタッフに支払われ、政府の資金は重要なリストにある20のプロジェクトに支払われますが、依存関係ツリーのロイヤリティは「〜である」というものに支払われます。小さく有用なものを作成し、400社の企業の運用システムに組み込まれた人々は、申請もマーケティングも、自分自身をブランド化することもなく、400の小さな貢献を受け取ります。これは、提案の他のどの部分よりも私にとって重要です。なぜなら、オープンソースの持続可能性に関する議論の多くは、メンテナーにビジネススキルを向上させるように言うことに変わってしまいましたが、私はそれがまったく逆だと思います。メカニズムは、有用であることに対して人々を支払い、要求することに長けていることに対してではないはずです。

LLMはこれを緊急にし、より価値のあるものにする

2022年以降に変わったもう1つのことは、ソフトウェアを書くコストが崩壊したことです。そして、これは30年間でこの方程式の変数が、単に速くなるのではなく、実際に動いた最初のケースだと思います。

より安価なソフトウェアは、より多くのソフトウェアを意味します。より多くの人々が小さく有用なものを作成できるようになり、ロングテールは長くなり、静かに誰かの依存関係ツリーに組み込まれるパッケージの数は増加します。ロングテールに支払うメカニズムは、その世界ではより価値があります。

また、AIエージェントがオープンソースの最も急速に成長している消費者になり、それらは正確に1つの方法で消費します。つまり、レジストリを介してです。2026年5月、OpenAIが実行するエージェントの群れが、2日間でRubyGemsに2,000以上のパッケージを公開し、レジストリのAPIのバグを悪用してユーザー認証情報を狙い、ドキュメントサイトでリモートコード実行を達成し、RubyGemsを実行するボランティアに4日間の新規登録停止を余儀なくさせました。OpenAIは、エージェントは無害なタスクを実行していたと述べました。それは真実かもしれませんが、いずれにしてもボランティアがコストを吸収し、誰も彼らに小切手を送りませんでした。

初期の兆候はほとんどがそのようなものです。curlをメンテナンスしているDaniel Stenbergは、7年間で9万ドルを支払ったバグバウンティを停止しました。なぜなら、AI生成のゴミが、提出された実際のバグの割合を15%から5%未満に押し下げたからです。そして6年間、AIのみのレポートが実際の脆弱性を発見したことはありませんでした。AIはオープンソースの実際のバグを見つけるのが得意になっています。GoogleのBig Sleepはいくつか発見しました。しかし、発見はGoogle内で行われ、修正は誰かの夜に行われます。そして現在、負荷はそれを軽減するツールよりも速く増加しており、ツールはセキュリティチームを持つ企業に属しており、パッチを書く必要がある人物には属していません。

どちらの方向に進むかはわかりません。長年、私の正直な推測は、LLMの効果はすべて相殺され、より速いだけで同じ均衡に至るだろうということでした。今ではその確信が薄れています。なぜなら、初めて2つのゲームが分岐しているからです。コードの作成コストは低下しており、保証するサプライのコストは増加しています。それは、サプライレイヤーが支払う価値がある状態であり、誰が支払われるかを決定するまさにその瞬間です。

私たちは常にこれを行う力を持っていた

企業がもっと親切になることを願ってこれを終えたくはありません。なぜなら、この投稿のバージョンを頭の中で百回書きましたが、それは無用だからです。実際に行えることで終えたいのです。そして、利益相反が明白だったため、npmにいた間は、この議論をすることはできませんでした。しかし、npmでの私の時間ははるか昔のことですが、エコシステムにおけるその強力な場所への感謝は残っています。

オープンソース開発者は、無視される可能性のある、散らばったボランティアの山として描かれますが、記録はそうではないことを示しています。2017年、私たちはFacebookにReactのライセンスを変更させました。2024年と2025年には、数十億ドルの資金を持つ企業であるRedisに、14ヶ月で戦略的決定を覆させました。私たちのコードでホークになろうとした人がいるたびに、私たちはそれを実行しました。調整された拒否は機能し、ハトは欠陥者を罰するのにかなり優れていることが判明しました。

私たちが決して行っていないのは、それをライセンス以外のものに向けたことです。30年間、ターゲットはコードに課金しようとした企業でしたが、その間、企業が実際にオープンソースに費やすお金は、誰も異議を唱えることなく、チョークポイントに座っている1ダースのベンダーに流れていきました。なぜなら、彼らはルールを破っていなかったからです。そして、ルールがないため、ルールを破っていなかったのです。それが問題全体です。

そこで、私が望むルールは次のとおりです。メーターを運営する人々は、メーターを価値あるものにする人々に支払うべきです。 これは、少数の名前が挙がったターゲットに対する規範です。それらのターゲットはすべて開発者に販売しており、それらのすべてが開発者が彼らについてどう思うかを気にしています。法律、財団、助成金委員会、または単一の企業が寛大に感じる必要はありません。レジストリとミラーベンダーが、企業がすでに支払っている請求書に項目を追加し、cronジョブを実行する必要があります。過去30年間、私たちが試した他のすべては、オープンソースを消費する1万社への訴えでした。これは、それを供給する12社への指示です。