■ 1. OpenSSFによる共同声明の概要
- 声明の発表:
- OpenSSF（Open Source Security Foundation）が2026年9月16日（米国時間）に発表
- 持続可能な資金調達モデルへの移行を支持する内容
- 声明の基本認識:
- 公開パッケージレジストリの現在の無料モデルは維持不可能
- 大企業が有償顧客として費用を負担すべきという方針を明確化
- 賛同企業・団体:
- GoogleやMicrosoftなど主要ITベンダー12社・団体が賛同
- 背景にあるAI開発の普及:
- AIを活用したソフトウェア開発の爆発的普及によりプラットフォームの負荷が急増
- OSSサプライチェーンを支えるレジストリの維持が限界に到達
■ 2. 公開パッケージレジストリの役割と運用の限界
- レジストリの位置付け:
- 世界中の組織のアプリケーションは公開パッケージレジストリの存在を前提に成立
- 全体で年間数兆回規模のダウンロードを処理する中核インフラ
- 代表的なレジストリ:
- PyPI（Python）、Maven Central（Java）、crates.io（Rust）
- RubyGems（Ruby）、npm（JavaScript）、NuGet（.NET）
- Open VSX（Visual Studio Code互換の拡張機能）、Packagist（PHP）
- 脆弱な運用体制:
- 一握りのスポンサー企業が寄付するクラウドのインフラクレジットに依存
- わずか2～3人規模のチームの献身的な努力で辛うじて運営を継続
- 膨らむコストと投資需要:
- インフラ維持コストが増大
- 開発者の利用体験向上やセキュリティ強化に必要な投資も年々拡大
- 悪意あるコンポーネントの増加:
- 人手による解析と削除を要する件数が2026年9月時点で180万件に到達
- 既に2025年の年間件数を突破
- AIによる公開処理量の増大予測:
- AIで脆弱性が次々と発見されることで、パッケージの公開処理量が3～5倍に急増する見込み
- 従来の無料モデルによる運営が限界
■ 3. 資金確保で実現するエンタープライズ品質
- 資金調達モデル移行の効果:
- エンタープライズ企業が求める高度な要件に応える投資が可能になる
- 可用性:
- 監視やアラート体制の強化によるダウンタイムの最小化
- 専用サポートチャネルの開設
- 大容量利用者向けのプライベート／ピアリングアクセスの提供
- 可観測性:
- エコシステム全体にわたる高度な分析機能
- 監査証跡、コンプライアンスおよびポリシー制御の提供
- セキュリティ:
- アーティファクトの署名、マルウェアの隔離、ビルドのプロベナンス証明
- SBOM（ソフトウェア部品表）およびVEX（脆弱性悪用可能性情報）の生成
- インシデント対応のSLA（サービスレベル合意）
- いずれも企業のコンプライアンス充足に急速に求められている機能
■ 4. 署名企業・団体による6つのコミットメント
- 署名企業・団体:
- Arm、Datadog、Dell Technologies、Ericsson、GitHub、Google
- IBM、Kusari、Microsoft、Red Hat、Rust Foundation、Sonatype
- 1. 個人開発者・小規模組織への無料アクセスの継続:
- 有料モデル導入で個人開発者の公開、検索、インストールの日常ワークフローに障壁を生じさせない
- 「オープンソースはオープンなままであるべき」という理念を堅持
- 2. 利用規模と提供価値に基づく資金調達モデルの模索:
- 大規模にパッケージを消費する組織やミラーリング・再配布をする組織が対象
- 商用パッケージを大量公開する組織やプレミアム機能を必要とする組織も対象
- 享受する商業的価値に比例してインフラ費用を支援すべきという考え方
- 3. レジストリ費用を事業経費として認識:
- 試験運用を含め、セキュリティ、耐障害性、コンプライアンス能力への正当な投資と位置付け
- 各組織が利用状況や要件、ビジネスの必要性に応じて適切なアプローチを評価・選択
- 4. 一般的な商用調達とは異なる枠組みとして認識:
- 有償サービスも既存の利用規約をベースに構築すべき
- SaaS調達と同様の過度な損害賠償義務や免責条件の要求は避けるべき
- そうした要求は運用コストを押し上げ持続可能性を損なう
- 5. 進化するモデルへの継続的な支援:
- 新モデルへの完全移行には時間を要することを理解
- アーリーアダプターとしてレジストリ側の実験的取り組みを支援
- 6. レジストリの自律性の尊重:
- 持続可能性を達成するアプローチは各レジストリ自身が選択
- 企業側の役割は条件の指示・強制ではなく前向きな顧客としての協力
■ 5. 今後の展開
- 新たな資金調達モデルの模索:
- 各レジストリはLinux Foundationの「Sustaining Package Registries Working Group」を通じて取り組む
- 独立性を保ちながらエンタープライズ向け有償プランなどのモデルを本格的に模索