现代计算机基础设施高度依赖开源软件，而这些核心组件往往由无薪或低薪志愿者维护。近期一份关于数据漏洞的报告揭示了关键开源项目的生存现状：在列出的 23 个项目中，有 11 个项目仅依靠一个或两个维护者支撑，且资金严重短缺甚至完全缺失。
这种极度依赖少数人力的模式引发了安全担忧。当广泛使用的关键软件面临经费不足或人力匮乏时，潜在的系统性风险随之而来。
历史教训与单点故障
回顾过往的安全事件，单一维护者的局限性暴露无遗。2014年，Shellshock 漏洞爆发，影响 Linux、macOS 及 Unix 类系统。该漏洞源于 Bash 中一行可追溯至 1989 年的代码，尽管此前被认为已消除所有错误。提交历史记录显示，Bash 几乎完全由 Chet Ramey 一人维护。
2016年，ImageMagick 库被利用漏洞导致远程代码执行。作为网页和移动应用中图像处理的核心组件，其庞大的代码库在随后的多年分析中被发现存在数百个安全问题。值得注意的是，过去几年间，该项目几乎每一行代码的贡献都来自个人开发者 Dirk Lemstra。
近年来的案例同样令人警醒：2021年的 Log4Shell 漏洞影响了数百万台使用 Apache Log4j 日志库的服务器；2023年，图像处理库 libwebp 出现零日漏洞；2024年，Linux 和 iOS 系统中广泛使用的 xz 压缩库遭到破坏。
无偿劳动与人才流失
报告指出，缺乏整体维护团队以及工作的无偿性质，使得这些关键项目难以吸引人才，进而构成威胁。
以基于 Linux 的操作系统为例，主要时区文件由加州大学洛杉矶分校教师 Paul Eggert 免费维护。据估计，全球一半最繁忙的网站使用了 Denis Pushkarev 负责的库。Pushkarev 曾因在库的安装过程中添加命令行消息以寻求帮助或工作机会，而遭受社区批评。
Behdad Esfahbod 开发的 HarfBuzz 库是处理中东语言连接和文字塑造（即字母根据上下文改变形状或方向）的基石。然而，该项目未提及任何公共或企业资金支持，也鲜少被视为具有高商业价值的项目。
在 Android、Firefox、LibreOffice 以及所有基于 Chromium 的浏览器中处理 JPEG 图像的库，其维护工作由 D.R 承担，但报酬可能仅为“三到四位数”，远低于六到七位数的水平。负责跨多个应用程序和操作系统进行 XML 读写的 Libxml2 库，其最初维护者 Nick Wellnhofer 在经历多年的低收入工作后，于 2025 年 9 月辞职。
SQLite 项目提供了一个易于集成、资源占用低的单文件数据库解决方案，广泛应用于 WhatsApp、Dropbox、Android、Windows 及所有主流浏览器。目前约有 1 万亿个实例在使用 SQLite，但仅有四人维持这一关键项目。出于对“世界上有很多疯子可能会滥用这些信息”的担忧，这四位维护者甚至从项目页面上删除了自己的名字和照片。该项目目前的资助主要来自创始人公司提供的付费支持服务。
资金改善的迹象与挑战
尽管形势严峻，部分项目已开始获得关注。例如，开发人员普遍使用的 URL 获取工具 Curl，由 Daniel Stenberg 发起。目前团队已扩展至 11 人，并通过开放集体和德国主权技术机构等渠道获得资金。
吸取过往失败的教训后，Log4j 和 OpenSSL 项目也获得了主权技术机构的资助。
鉴于上述软件在现代数字生态中的核心地位，行业参与者理应投入大量资金予以支持。即便企业不认为自身负有道德义务，现实情况是，人工智能代理现在能在短短几小时内发现可利用的软件漏洞，这使得忽视基础软件维护的风险变得不可接受。
