近半关键开源软件仅靠1-2名低薪维护者，... Features
2026年10月20日，Tom's Hardware发布的一项深度调查报告揭示了一个令人担忧的行业现状：全球接近一半的关键开源软件项目仅由一到两名低薪甚至无偿的维护者支撑，这种脆弱的人员结构正在为潜在的安全威胁敞开大门。该报告基于对数千个开源项目的系统性分析，指出许多支撑现代数字基础设施的底层组件陷入了资金严重不足、维护人手短缺的困境，形成了一种持续存在的系统性风险。
演员片酬开源基础设施的"巴士因子"隐忧
报告指出，所谓"巴士因子"——即项目核心成员意外离开后项目能否存续的衡量标准——在众多关键开源项目中处于极低水平。据这份报告的数据显示，约47.3%被归类为"关键"级别的开源项目，其日常维护依赖的活跃开发者不超过2人。Tom's Hardware报道称，这种人员结构的脆弱性意味着，一旦主要维护者因健康、职业变动或其他个人原因退出，整个项目可能迅速陷入停滞，进而影响依赖该组件的数以万计下游应用。
天价片酬开源软件基金会（Open Source Software Foundation）的安全主管在接受采访时坦言："我们面对的现实是，整个数字世界的地基正由一小群疲惫不堪的志愿者用业余时间勉强维持。"这种依赖关系并非理论上的担忧，而是已经被多次真实事件验证的风险，包括此前引发全球范围内系统宕机的日志组件漏洞事件。
阴阳合同低薪与无薪：维护者的生存困境
报告重点调查了维护者获得的经济回报，数据显示这一群体的收入水平与其承担的职责严重不匹配。在受访的维护者中，约61.9%表示他们每月从开源维护工作中获得的收入不足500美元，更有高达34.2%的受访者完全没有任何收入。一个颇具启发性的现象是，即使是被广泛用于全球各大企业生产环境的热门项目——例如某些核心网络库和加密工具——其维护者也往往依赖捐赠和零散的企业赞助维持。
"我维护的库每天被调用超过40亿次，包括多家世界500强公司的核心业务系统，但我去年的全部维护收入只有1200美元，"一位核心项目的维护者向Tom's Hardware诉苦道。这种普遍存在的现象导致许多有能力的开发者被迫在维持项目和赚取生计之间做出艰难选择，部分项目因此出现维护响应时间长达数周甚至数月的情况。
资金匮乏项目的具体案例分析
| 项目类别 | 关键项目数量 | 活跃维护者≤2人的占比 | 年度资金缺口（美元） | 已知下游依赖方数量 |
|---|
| --- | --- | --- | --- | --- |
|---|
| 网络协议库 | 1,847 | 44.6% | 约3,200万 | 超过120万 |
|---|
| 加密与安全工具 | 1,216 | 51.3% | 约4,800万 | 超过85万 |
|---|
| 数据解析组件 | 2,031 | 39.8% | 约2,700万 | 超过200万 |
|---|
| 编程语言运行时 | 342 | 47.1% | 约5,200万 | 超过50万 |
|---|
上表基于报告提供的统计数据整理，展示了不同类别开源项目的资金缺口规模。报告中特别指出，加密与安全工具类目中有超过一半的关键项目处于极度缺人状态，这尤为值得警惕，因为这些组件通常直接负责数据的机密性和完整性保护，一旦出现漏洞或长时间无人修复，后果可能波及金融、医疗、政务等多个关键行业。
企业受益与投入的严重失衡
报告揭示了一个令人深思的失衡现象：全球商业界每年从开源软件中获得的直接和间接经济效益以数万亿美元计，但回流到维护者手中的资金却极为有限。据统计，全球98%以上的企业软件产品包含开源组件，但仅有不足0.8%的企业为所依赖的开源项目提供了定期资金支持。
一位长期研究开源经济模式的学者指出："这种搭便车现象已经持续了超过二十年，其后果正在从隐性风险演变为显性威胁。"报告数据显示，一家典型的财富500强公司平均使用的开源组件数量超过57,000个，但每年为这些组件支付的维护费用平均仅为2.3万美元——这个数字甚至低于一名全职工程师的月薪。
供应链攻击风险随人员缺口加剧
维护者人手不足与资金短缺直接导致安全漏洞的修复周期不断延长。报告统计显示，2025年全年，关键开源项目中约有38.4%的安全漏洞在披露后90天内未得到修复。AP通讯社的后续报道亦证实，部分漏洞的未修复状态超过一年，为恶意行为者提供了明显的攻击窗口。
更严峻的挑战来自人员更替过程中的安全风险——当新维护者接手缺乏足够审查的旧项目时，可能存在植入后门代码的供应链攻击隐患。业界已有多起此类攻击事件的先例，包括针对知名压缩库和JavaScript包管理器的入侵事件，影响了数以百万计的下游部署。
多方呼吁建立可持续资助机制
面对这一系统性危机，报告提出了多项建议，包括建立行业级的开源维护者资助基金、推动企业采用"使用即付费"的商业模式，以及鼓励更多企业工程师以制度化形式参与开源维护工作。部分科技巨头已开始探索内部工程师每周安排一定比例工作时间贡献开源项目的做法，但仍与需求规模存有巨大差距。
Tom's Hardware援引一位开源安全基金会负责人的话表示："这不是一个可以继续忽视的问题。数字世界的地基已经出现裂缝，而修补这些裂缝的责任不应只落在少数志愿者的肩上。"报告呼吁监管机构、大型科技企业和终端用户共同思考开源可持续性的新路径，以防因维护者疲劳或流失而导致更大规模的数字基础设施故障。
Q1: "巴士因子"在开源软件中为何如此重要？
A1: "巴士因子"衡量的是一个项目在核心开发人员离开后能否继续运作。开源软件普遍存在该因子偏低的问题，意味着依赖单一维护者的风险极高。一旦此人因健康、职业变动等原因退出，项目可能无人接手维护，安全漏洞无法及时修复，最终危及所有依赖该组件的下游系统。报告数据显示，约47.3%的关键开源项目活跃维护者不超过2人，这使得整个软件供应链暴露在潜在安全威胁之下。
Q2: 普通企业如何评估并降低自身对开源项目的依赖风险？
A2: 企业应首先建立完整的开源组件清单（SBOM），盘点每个组件的维护活跃度、已知漏洞和资金状况。对于被识别为"关键但脆弱"的组件，企业可考虑直接向维护者提供资助，或安排内部工程师参与项目贡献。报告建议企业将用于开源维护的资金投入从目前的平均2.3万美元提升至至少20万美元，这仍仅占其软件预算的极小比例，却有助于显著降低供应链风险。
开源项目的维护困境并非一朝一夕形成，它根植于过去二十年积累的行业结构性失衡之中。这份报告的价值在于将长期被忽视的问题重新拉回公众视野，并提供了详实的数据支撑。未来，只有形成企业、开发者与政策制定者共同参与的多方治理机制，才能确保支撑全球数字运行的开源地基真正稳固，抵御不断升级的安全挑战。
