オープンソースを形作る人々への投資と共に未来を守る

オープンソースは、常にコミュニティについてのものです。 深夜にプルリクエストをレビューするメンテナーのこと。見知らぬ人からのセキュリティレポートに対応するボランティアのこと。そして、世界のソフトウェアを静かに支え続けるコミュニティのことです。 コミットの背景にある現実は、メンテナーが手一杯になるということです。プルリクエストやコメントへの対応に加え、マージやリリースも期待されるため、負担は瞬く間に積み上がります。深夜の作業はバーンアウトへとつながり、個人プロジェクトが気づかないうちに一夜で重要なインフラストラクチャとなり、「ありがとう」の言葉だけでは生活は成り立ちません。さらに、AIはオープンソースコミュニティがエコシステムを守る方法を変える加速力となっています。常時稼働が求められるセキュリティ対策には、常に十分な知識と専門性があるわけではない上に、より多くの時間とエネルギーが必要です。 GitHubでは、オープンソースの支援とは、コードをホストする以上の意味があると信じています。それは、オープンソースを維持する人々への投資、成功に必要なツールの提供、そしてAI時代にエコシステムが急速に進化する中で彼らと共に歩むことを意味します。オープンソースメンテナーは、より良いサポートとセキュリティに値する存在であり、私たちはその声に耳を傾け、投資を続けます。 共に、オープンソースセキュリティを強化する 本日、私たちはAnthropic、Amazon Web Services (AWS)、Google、OpenAIと共に、オープンソースセキュリティを推進するLinux FoundationのAlpha-Omegaイニシアチブを支援するため、総額1250万ドルの共同出資に参加します。この協業は、メンテナーが新たなAIセキュリティ機能を利用し、既存のプロジェクトワークフローに統合できるように支援するとともに、当社のOSSセキュリティプログラムをさらに前進させ、重要なオープンソースソフトウェアプロジェクトのセキュリティを強化することを目的としています。 この取り組みは、オープンソースとソフトウェアセキュリティの管理者としてのGitHubの長年の活動の上に成り立っています。真のインパクトは、投資と実用的なツール、教育、メンテナーを支援するために設計された長期的なサポートを組み合わせることによって生まれます。 現在、GitHub上の数億に及ぶ公開リポジトリにおいて、28万人以上のメンテナーが、コアGitHubプラットフォームサービス、GitHub Copilot Pro、GitHub Actions、およびコードスキャンとAutofix、シークレットスキャン、プッシュ保護、依存関係アラートなどのセキュリティ機能への無料アクセス資格を有しています。GitHub Security Labは、オープンソースコミュニティと協力して、最も一般的な脅威に対する大規模な教育と保護を行い、エコシステム全体がより迅速に対応できるよう支援するセキュリティアドバイザリを公開しています。 コアプラットフォームとGitHub Copilotに対する最近および継続中のサポートに加え、以下の発表を通じて、メンテナーがオープンソースプロジェクトを保護することを支援するという当社のコミットメントを改めて表明します。 GitHub Secure Open Source Fundは、トレーニングと専門知識の提供、成果改善のためのコミュニティ、そしてDatadog、Open WebUI、Atlantic Council、OWASPを含む新たなパートナーの獲得に向け、550万ドル相当の追加Azureクレジットと資金を投入します。 GitHub Security Labは、GitHub上のセキュリティアドバイザリ体験とPrivate Vulnerability Reporting (PVR)機能に投資し、低品質な報告の負担を軽減することで、メンテナーが増加するセキュリティレポートの量に対処できるようにします。 GitHub Secure Open Source Fundのようなプログラムを通じて、私たちは学びました。メンテナーへの資金やリソース提供を、セキュリティ改善といった具体的な成果と結びつけた時に、最も効果的なセキュリティ成果が得られるのです。38か国、200人以上のメンテナーによる138のプロジェクトを支援した結果、191の新たなCVEが発行され、250以上のシークレットの漏洩が防止され、600以上の漏洩したシークレットが検出・解決されました。これにより、支援済みプロジェクトからの月間数十億ダウンロードに影響を与えています。また、教育と専門知識を伴う実践的なコーディング支援が、自己申告による学習とアクションを促進することも明らかになりました。 結果として、メンテナーが圧倒されるのではなくエンパワーされ、集中して学ぶ時間と余地を与えられ、彼らのワークフローに自然に溶け込むツールへのアクセスを提供された時、下流のすべての利用者のセキュリティが向上します。これにより、コミュニティを強化するフライホイールが生まれるのです。これらの教訓は、私たちが次に行うすべてのことを形作っています。 この活動の中核は、AIが脆弱性の発見方法と悪用方法の両方を根本的に変えつつある今、メンテナーが世界のソフトウェアサプライチェーンを支えるプロジェクトを防御・保護するのを支援することにあります。 メンテナーのためにAIを働かせる AIは、脆弱性発見の速度と規模を劇的に増大させました。これは防御側にも攻撃側にも当てはまります。今、メンテナーはこれまで以上にソフトウェアセキュリティの最前線に立っています。彼らはしばしば、シグナル対ノイズ比の低い、自動化されたプルリクエストやセキュリティレポートの急増に直面します。その結果、バーンアウトが増加しています。 Log4jのメンテナーであるChristian Grobmeierが述べたように、「我々のAIは、攻撃側のAIよりも優れていなければなりません」。私たちも同感です。だからこそ、私たちの焦点は単により多くの問題を見つけることだけではありません。オープンソースを維持する喜びや持続可能性を損なうことなく、メンテナーが問題を効果的にトリアージし、理解し、修正するのを支援することにあります。例えば、私たちが最近オープンソース化したAIを活用したセキュリティ研究フレームワークは、セキュリティチームだけでなく、メンテナーをエンパワーするためにも使われるべきだという信念に基づくものです。 今後を見据え、GitHubはプルリクエストコントロールのようなツールへの投資を続けるとともに、AIが問題のトリアージ、プルリクエストレビュー、セキュリティ脆弱性の特定と修復などにおいて、メンテナーの力を増幅する存在となることを確保します。AIは新たな負担の源であってはなりません。影響力のあるオープンソースプロジェクトのメンテナーは既にCopilot Proを利用でき、これにはAIを活用したコードレビュー、エージェント的セキュリティ修復ワークフロー、メンテナーがリスクをより迅速に発見・修復するために設計された幅広い主要モデルへのアクセスが含まれています。 AIはメンテナーの負担を増やすのではなく、軽減するべきです。私たちの目標はシンプルです。 1. メンテナーが既に作業している場所、つまりGitHub上で彼らに寄り添う。 2. ノイズではなく、実際の問題の優先順位付けを支援する。 3. 発見だけでなく、修正を加速する。 4. 安全なデフォルト設定と健全なワークフローをサポートする。 5. コミュニティと共にこれを磨き続ける。 オープンソースは共有された責任です 単一の企業やグループだけで、オープンソースを守ることはできません。私たち全員が依存するソフトウェアはグローバルコミュニティによって構築されており、それを保護するには、エコシステムと世界経済全体における協力が必要です。 メンテナーやAlpha-Omegaのようなパートナーと協力することで、私たちは努力を分散させずに影響力を拡大することを目指しています。GitHubのプラットフォーム、ツール、プログラムを、共有されたコミュニティガバナンスと信頼、そしてメンテナーへの最新モデルとAIを活用したコーディングツールの提供と組み合わせることで、これを実現できます。 最も重要なのは、私たちがプロジェクトだけでなく、人々への投資にもコミットしていることです。オープンソースは、メンテナーがサポートされ、尊重され、最高の仕事ができる環境を与えられた時に、真に繁栄するからです。私たちと共に未来を築いてくださるすべてのメンテナーの皆さんに感謝します。 Maintainer Hubを試し、利用可能なツールを有効化し、GitHub Secure OSS Fundへの応募をご検討ください。第4回募集は4月下旬に開始され、採択プロジェクトはそれぞれ1万ドル、Copilot Pro、10万ドル相当のAzureクレジット、3週間のセキュリティ教育、専用コミュニティへのアクセスを受け取れます。いつものように、皆様からのフィードバックが、私たちが次に構築するものの形を決めるのに役立ちます。 この投稿「オープンソースを支える人々への投資で、未来のセキュリティを守る」は、The GitHub Blogに最初に掲載されました。

オープンソースを形作る人々への投資と共に未来を守る

背景や根拠まで確認しますか？

調べる

選ぶ

サイト

背景や根拠まで確認しますか？

ニュースの次に確認する

調べる

選ぶ

サイト