スマホもブラウザも支える23本のソフト、11本は1〜2人で回していた

スマホもパソコンも、中身は他人が無料で公開したソフトの寄せ集めだ。そのオープンソースを、いま何人が手入れしているのか数えた人がいる。Redditの利用者Mastbubbles氏。スマホやサーバーが実際に使っている23本の変更記録をすべて調べた。まとめ作業とボットの分を除き、2025年10月7日から2026年10月7日までに10回以上手を入れた人を数えた。結果、23本のうち11本は、その人数が1人か2人だった。

名前を挙げよう。ファイルを圧縮するxzは1人で、2025年の変更の97%をラッセ・コリン氏が書いた。管理者の権限を渡すsudoも1人。2008年から2018年の5409回の変更のうち、5408回がトッド・ミラー氏の手だ。世界の時計を合わせるタイムゾーンデータベースは2人。1年間の変更251件のうち218件が、UCLAで教えるポール・エガート氏による。影響を受ける人は推定40億人という。

「これは無給の趣味だ」と、本人が書いていた

危なくないのか。2024年には、xzにバックドアが仕込まれていたと分かって大騒ぎになった。それでもxzに新しいお金は入っていない。

ただ、作る側から見ると、順番が違う。コリン氏は2022年6月8日、開発者のメールのやりとりにこう書いていた。「It’s also good to keep in mind that this is an unpaid hobby project.」（これが無給の趣味の企画だということも、覚えておいてほしい）

core-jsのデニス・プシュカレフ氏は、もっとはっきり書いた。core-jsは、古いブラウザでも新しい機能を使えるようにするソフトで、保守は彼1人。2023年2月の文章では、月に約250時間働いて時給は2ドル（約310円）。寄付は月2500ドル（約39万円）から400ドル（約6万2000円）に落ちていた。そのころ、彼が試したサイトの52%でcore-jsが動いていた。結論は一行だ。「Free open-source software is fundamentally broken.」（無料のオープンソースは、根っこから壊れている）

心配の声そのものが、重荷になることもある。XMLを読むlibxml2を1人で見ていたニック・ウェルンホーファー氏は2025年、セキュリティの報告も普通のバグとして扱い、時間があるときに直すと決めた。毎週何時間も取られては、無給の人間には続けられないという理由だ。同じ年の9月15日、保守をやめると告げた。引き継ぐ候補は一人もいない、と本人は書いていた。

お金が入った2本は、人が増えた

では、お金を出せば済むのか。増えた例はある。curlは今11人で、Open Collectiveに年約8万9700ドル（約1400万円）が集まる。OpenSSLは2014年にHeartbleedという弱点が出た当時、年間の寄付は約2000ドル（約31万円）だった。その後Linux Foundationが540万ドル（約8億4000万円）を集め、有給の開発者を2人雇った。定期的に直す人は、2013年の6人から、2026年には32人になった。

ただ、お金が入っても静かにはならない。curlは2026年1月31日、バグ報奨金をやめた。AIが作った中身のない報告が増え、本当だった割合が15%超から5%未満に落ちたからだ。一方、タイムゾーンデータベース、SQLite、zlib、bashには、公的な助成が1件も入っていない。

ネットの評判

はてなブックマークでは、この調査を伝えたGIGAZINEの記事に25人がブックマークを付けた。「インフラの土台が個人の善意に依存しすぎ問題、xzの件から何も変わってなくて震える」という声や、「ミドルウェアとかもそう」と範囲を広げる声がある。海外の掲示板Lemmyでは「巨大企業が、ほとんど何も返さずに利益を上げている」という書き込みに賛同が集まる一方、「この一覧にcore-jsを入れるのは変だ」と選び方を疑う声も付いた。