23のコアオープンソースプロジェクトの11が1〜2人で運営されている

あなたの携帯電話のすべての警報、搭乗券、カレンダーの招待状は、政府が発表したすべての時刻規則を保持するテキストファイルに依存しています。UCLAの講師であるポール・エガートは、このファイルを自分の空き時間に最新の状態に保っており、少なくとも40億台のAndroidフォンとiPhoneがそれを読み取っています。彼はオープンソースのメンテナーであり、その立場にあるのは彼だけではありません。 セキュリティ上の懸念が発生するたびに投稿されるxkcdコミック（番号2347）は、感謝されることなく一人の人間がメンテナンスしている小さなブロックの上にバランスを取っている現代のインフラストラクチャの塔を描いています。u/MastbubblesというRedditユーザーが、それがどれほど真実に近いかをテストしました。彼らは、電話、ブラウザ、サーバーが依存している23のプロジェクトの履歴全体をダウンロードし、過去1年間に10回以上の変更を行ったすべての人を数え、その結果をsheets.worksに「The People Holding Up the Internet」として公開しました。この投稿は、公開初日にr/linuxで約1,100件のアップボートを集めました。 23プロジェクトのうち11は、1人または2人が定期的な作業を行っていました。この記事の残りの部分では、これらの人々が誰であるか、彼らに届くお金はいくらか、そしてr/linuxが数字に対してどのように反発したかについて説明します。 主な発見の概要 23プロジェクトのうち11は、2025年10月7日から2026年10月7日の間に1人または2人が10回以上の変更を行っていました。 xzは、ラッセ・コリンという単一の定期的な貢献者がおり、2025年の変更の97％を彼が記述しました。分析によると、2024年のバックドア事件以降、新たな資金は見つかっていません。 sudoは、2008年から2018年までの5,409回の変更のうち5,408回が1人（トッド・ミラー）によるものでした。 タイムゾーンデータベース、SQLite、zlib、xz、bashを含む8つのプロジェクトでは、分析がチェックした公開資金源に助成金やスポンサーシップが見つかりませんでした。 お金は災害の後についてくる。Heartbleed事件の2ヶ月以内に、Linux Foundationは540万ドルを調達し、年間約2,000ドルの寄付で運営されていたOpenSSLは、開発者と監査を受けました。 カウントの仕組み 著者は、各プロジェクトの完全な公開履歴を取得し、2025年10月7日から2026年10月7日の間に記述された変更を保持し、マージとボットは除外しました。この期間内に10回以上の変更を行った人は誰でも、定期的な貢献者と見なされます。資金に関しては、「公開助成金なし」とは、Sovereign Tech Agency、Alpha-Omega、Open Collective、またはGitHub Sponsorsからの資金がないことを意味します。これは、これらの人々がこれまでにお金を払った人がいないという意味ではありません。制限セクションは、この方法が見落としているものについて説明しています。 一人プロジェクト: xz、sudo、bash、タイムゾーンデータベース xz: 一人のメンテナーをスポットライトに当てたバックドア フィンランド在住のラッセ・コリンは、ほとんどすべてのLinuxサーバーで見つかる圧縮ツールであるxzを担当しています。2022年6月、彼はメーリングリストに、これが無給の趣味プロジェクトであり、長期的な精神的健康問題によって、彼が追いつく能力が制限されていると伝えました。数ヶ月間、Jigar KumarとDennis Ensと名乗るアカウントが、物事の進捗が遅いことについて公に不満を述べていましたが、Jia Tanという貢献者が有用なパッチを送ってきました。コリンはJia Tanにさらにアクセス権を与えました。2023年までに、Jia Tanはコリンよりも多くの変更（172件に対し304件）を行っていました。2024年2月、Jia Tanがリリースしたバージョンには、Linuxサーバーへの隠しアクセス経路が含まれていました。Microsoftのエンジニアであるアンドレス・フロインドは、彼のSSHログインが通常よりも多くのプロセッサ時間を使用していることに気づいたため、2024年3月29日にそれを発見しました。これは、ほとんどのLinuxシステムが出荷される前でした。sshdへの経路は、ディストリビューションのパッチを経由しました。いくつかのディストリビューションはOpenSSHをlibsystemdにリンクしており、libsystemdはxzの一部であるliblzmaをプルします。Jia Tanが誰であるかはまだわかっていません。コリンは再び一人です。彼は2025年のxzの変更の97％を記述し、2026年にはプロジェクトには1人の定期的な貢献者がいます。分析によると、バックドア以降、新たな資金は見つかっていません。これは、Heartbleed事件後のOpenSSLの状況とは逆です（下記参照）。 タイムゾーンデータベース: 一人の講師、一人のバックアップ、40億台のデバイス エガート氏は2012年からタイムゾーンファイルの公式コーディネーターを務めており、UCLAでコンピュータサイエンスを教えています。Android、iOS、ほとんどのサーバーは、ローカルタイムを把握するためにこのファイルを使用しています。2026年9月29日に公開されたリリース2026eは、マニトバ州が10月31日に永続的な-05に移行したことから始まります。これは、11月1日にウィニペグの電話機に時計を戻さないように指示します。過去1年間にファイルに加えられた251回の変更のうち、エガート氏は218回、ティム・パレンティ氏は28回を行いました。2020年、エガート氏はメーリングリストにパレンティ氏をバックアップとして指名するよう依頼しました。これは、退職やその他の理由で彼が離れる場合に備えるためです。この仕事には法的リスクも伴いました。2011年、ある占星術ソフトウェア会社が、エガート氏と、1986年に国立衛生研究所でデータベースを開始したアーサー・デイビッド・オルソン氏を訴え、その履歴の一部が同社が所有するアトラスから来たと主張しました。メーリングリストとダウンロードサイトは、その月の後半にIANAが引き継ぐまでオフラインになりました。電子フロンティア財団は両氏を無料で弁護しましたが、同社は2012年2月に訴訟を取り下げました。今日、エガート氏にはスポンサーページがなく、分析ではプロジェクトの公開助成金は見つかりませんでした。 sudo: リストの中で最も資金が潤沢な一人プロジェクト トッド・C・ミラー氏は、MacまたはLinuxサーバーで管理者権限を付与するコマンドであるsudoを、1990年代初頭からメンテナンスしています。このツール自体は、1980年頃にバッファロー州立大学で誕生しました。分析によると、ミラー氏は2008年から2018年の間の5,409回の変更のうち5,408回を行っていました。2026年2月、彼は自身のウェブサイトで、sudoのメンテナンスと開発を続けるために「スポンサーを探している」と書いていました。The Registerがそのメモを報道した後、プロジェクトのOpen Collectiveの予算は年間約61,700ドルに達し、30人がGitHubでスポンサーになりました。これは、sudoをリストの中で最も資金が潤沢な一人プロジェクトにしていますが、リストの他のプロジェクトについては多くを物語っています。 bash: 25年間報告されなかったバグ チェット・レイミー氏は、Linux（および2003年から2019年まではMac）のシェルであるbashを、1990年頃からメンテナンスしています。彼はオハイオ州のケースウェスタンリザーブ大学のネットワークグループでの仕事と並行してこれを行っています。2014年9月、ステファン・シャゼラス氏は、特別に整形されたテキストを送信することで、誰でもサーバー上でコマンドを実行できる脆弱性を報告しました。これは9月24日にShellshockとして公開され、数億台のマシンに影響を与えました。その原因となった行は、1989年8月5日にbashに入っていました。分析によると、bashの公開履歴のすべての変更（公式の修正を含む）にレイミー氏の名前がありました。 巨大なリーチを持つ小規模ライブラリ libjpeg-turboは、Androidフォン、Chrome、EdgeでJPEG画像をデコードします。メールにイニシャルで署名するDRC氏は、今年の変更の98％を記述し、プロジェクトを一人事業として運営しています。かつて彼は、一般的な資金が月に約8〜10時間の仕事しかカバーしないと書いていました。 zlibは、PNG画像、Git、Android、iPhone、Chrome内でデータを圧縮します。マーク・アドラー氏は1995年に共同執筆し、彼のもう一つの仕事はNASAの火星探査機スピリット号の管理でした。彼とVollstreckerという貢献者が昨年の作業のほとんどを行い、アドラー氏にはスポンサーページはありません。 HarfBuzzは、Android、Chrome、Firefox、Edge、Kindleのために、ヒンディー語、アラビア語、タミル語、そして世界のほとんどのスクリプトで文字がどのように結合し、配置されるかを決定します。Behdad Esfahbod氏は今年の変更の85％を記述し、他の5人が定期的な作業を行っています。 SQLiteは、すべてのAndroidフォン、iPhone、Mac、Windows 10および11、そしてすべての主要なブラウザに含まれています。昨年は4人が変更しました。プロジェクトは1兆以上のデータベースが使用されていると推定しており、チームはHipp氏の会社を通じてサポートを販売することで作業の対価を得ています。 core-jsは、古いブラウザで新しいJavaScriptを実行できるようにし、作者の計算によると、上位1000の最も訪問数の多いウェブサイトの約半分で動作しています。Denis Pushkarev氏が寄付を求めたとき、彼は月に約57ドルを集めました。2019年、彼は無給でフルタイムで取り組んでいましたが、彼自身が説明した悲惨な交通事故により、彼は刑務所に入ることになりました。彼は2020年1月から約10ヶ月服役し、その間コミットはほぼ停止しました。今年、彼は変更の95％を記述しました。 お金が到着したときに何が変わるか: curlとOpenSSL リストにあるすべてのプロジェクトが一人で運営されているわけではありません。Daniel Stenberg氏はcurlを開始しました