なんと23の主要なオープンソースプロジェクトのうち11は1人または2人で運営されている実態が明らかに

Redditユーザーが、スマートフォン・ブラウザ・サーバーが依存している23の主要なオープンソースプロジェクトの履歴から、プロジェクトのメンテナーについて記録する調査を行いました。その結果、23のプロジェクトのうち11では、過去1年間に定期的に変更を加えた開発者が1人または2人しかいなかったことが判明しました。

The People Holding Up the Internet: Who Maintains Open Source
https://sheets.works/data-viz/holding-up-the-internet

11 of 23 Core Open Source Projects Run on 1 or 2 People
https://linuxstans.com/11-of-23-core-open-source-projects-run-on-1-or-2-people/

今回の調査は、Redditユーザーのu/Mastbubbles氏が実施したもの。スマートフォンやブラウザ、サーバーなどが依存する23のオープンソースプロジェクトについて、2025年10月7日から2026年10月7日までの変更履歴を調べ、マージやボットによる変更を除いた上で、期間中に10回以上の変更を行った開発者を「定期的な貢献者」として記録しています。

中でもLinuxサーバーなどで広く使われているデータ圧縮ツール「xz」は、期間中に定期的な貢献をしていたのはラッセ・コリン氏1名のみであり、2025年の変更の97％はコリン氏が作成していたことが確認されました。また、2024年のバックドア事件以降、新たな資金提供は確認されませんでした。以下はu/Mastbubbles氏が示したxzの変更履歴で、緑色がコリン氏、赤色がジア・タン氏、グレーがその他全員による変更を示しています。これによると、2024年まではコリン氏とタン氏のほぼ2人、2024年以降はコリン氏がほぼ1人で変更を手がけていることがわかります。なお、タン氏が何者なのかは不明とのこと。

また、LinuxやmacOSなどで管理者権限を取得するために使われるコマンド「sudo」は、2008年から2018年の間に5409回の変更が行われましたが、そのうち5408回はトッド・ミラー氏という1人の人物によるものだったことが判明しています。

最終的に、調査した23のプロジェクトのうち、11のプロジェクトでは1人または2人の担当者が定期的な貢献者、すなわち10回以上の変更をしていたとu/Mastbubbles氏は報告しています。これは、さまざまなプロジェクトやアプリケーションの重要な土台となっているオープンソースプロジェクトが、ごく少数の貢献者によって維持されていることを意味しています。

例えばカリフォルニア大学ロサンゼルス校(UCLA)でコンピュータサイエンスの上級講師を務める有名なプログラマーのポール・エガート氏は、2012年からタイムゾーンファイルの公式コーディネーターを務めています。AndroidやiOS、その他ほとんどのサーバーは、このタイムゾーンファイルを読み込んで現地時間を算出しています。それほど影響力のあるファイルについて、2025年10月から2026年10月に加えられた251件の変更のうち、エガート氏によるものが218件と大部分を占めていました。エガート氏は退職などの事情で自分が担当できなくなった場合に備え、システムソフトウェアエンジニアのティム・パレンティ氏をバックアップ担当者として指名しており、同期間にパレンティ氏は28件の変更を担当しました。

以下の図は、どれほど多くのアプリケーションやサービスが、エガート氏を含むごく少数の人物に支えられているかを示した図。スマートフォンで毎朝のアラームをかけている人も考慮すると、影響される人数は「40億人」にのぼると推定されています。

また、Linuxなどで使われるシェル「bash」も1990年ごろから少人数で維持されていたことから、1989年8月5日にbashへ追加されていたという脆弱(ぜいじゃく)性が発見されたのは2014年と、発見までに25年かかったことが指摘されています。そのほか規模は小さいながらも影響力の大きいライブラリとしてAndroidスマートフォン・Chrome・EdgeでJPEG画像をデコードする「libjpeg-turbo」、 PNG画像・Git・Android・iPhone・Chrome内のデータを圧縮する「zlib」、Android・Chrome・Firefox・Edge・Kindle向けにヒンディー語・アラビア語・タミル語および世界のほとんどの文字体系における文字の連結方法と配置を決定する「HarfBuzz」、すべてのAndroidスマートフォン・iPhone・Mac・Windows 10および11、そして主要なブラウザすべてに搭載されているデータベースエンジンの「SQLite」、古いブラウザでも新しいJavaScriptを実行できるようにする「core-js」が挙げられました。

一方で、十分な資金が集まったことで開発者を増やせたプロジェクトもあります。例えばWebサイトとの通信などに利用されるデータ転送ツールの「curl」は、Open Collectiveを通じて年間約8万9700ドル(約1400万円)の収益を上げており、2026年には11人が通常の貢献者として活動しています。開発者のダニエル・ステンバーグ氏によると、現在では他の開発者が追加したコードの合計行数が、自身の追加した行数を上回っているそうです。

また、資金提供によって開発体制が変化した代表例が「OpenSSL」です。OpenSSLでは2014年に「Heartbleed」という重大な脆弱性が発見され、当時信頼できるセキュアサーバーの約17％が影響を受けていましたが、当時OpenSSL Foundationが受け取っていた寄付金は年間約2000ドル(約31万円)であり、プロジェクトでフルタイムで働いている人間も1人だけでした。しかしHeartbleedの発覚から2か月以内に、Linux Foundationはテクノロジー企業から540万ドル(約8億円)を集め、OpenSSLには有給の開発者2人が加わったほか、セキュリティ監査も実施されました。定期的な貢献者の数も2013年の6人から2014年には14人へ増加し、2026年には32人になっています。

注意点として、変更履歴に記載されているのが必ずしも正式なメンテナーとは限らず、過去の履歴をコピー＆ペーストするなどして、実際の貢献者が不明瞭になっている場合が考えられます。また、変更件数にはコードレビューやバグの調査、セキュリティ報告、リリース作業などは表れないため、変更履歴が少ないからといって実際の労力が乏しいことを意味しているとは限りません。加えて、変更件数が少ないということは、開発が完了していることを意味している可能性もあり、放置されているわけではないことも考慮が必要です。

それでも、今回の調査結果はスマートフォンやサーバーなどに組み込まれている重要なソフトウェアの中に少数の開発者によって維持されているものが多数存在することを示しています。Linuxの情報を伝えるメディアのLinux Stansは、自分のシステムが何に依存しているか確認することの重要性や、オープンソースのメンテナーを支援する必要性についてアドバイスしています。