开源基础设施危机：OpenSSF 警告免费时代即将终结

开源安全基金会（OpenSSF）联合多个重量级开源组织发表声明，警告现代软件开发背后的关键基础设施正被推向崩溃边缘。

这份声明强调“开源基础设施并非免费”，带宽、存储、人力、合规及安全响应成本持续飙升，而部分大企业长期无偿大规模使用，甚至用扫描器、智能体“轰炸”式抓取数据，加剧系统负荷，属“浪费性使用”。

各基金会一致呼吁：大厂应为关键基础设施付费，通过商业合作、分层访问、增值服务等模式实现可持续运营，否则整个开源生态将被推向崩溃。

Maven Central、PyPI、crates.io、npm和Packagist等软件包注册中心每月处理数十亿次下载，但运营这些平台的组织往往只能依靠捐款、资助和少数赞助商的善意勉强维持。

"商业规模的使用却没有商业规模的支持是不可持续的"，该组织写道，并指出了对快速依赖解析、签名包、零停机时间和快速响应供应链攻击的需求，更不用说即将到来的监管要求，如欧盟的网络弹性法案。

这封公开信由八个组织签署，包括Eclipse基金会、Rust基金会、Sonatype和Python软件基金会。