アクティビティチェックをしてたら、全プロジェクトの半分がメンテナンス担当者ゼロだってことに気づいてたはずだよね。

DoDがNodeを使ってるのがちょっと心配だな。間違ってるかもしれないけど、npmとかって攻撃のターゲットになりやすい気がする。

この人、リーナスの仕事についていい話を聞いたことがある。彼の作品を使ったことがあると思う。ロシアと国境を接している国出身なんだよね。これって心配すべきことなのかな？俺は何十年もOSSに関わってきたけど、ほとんど一人でやってたし、時々ボランティアのチームでやってた。ボランティアのチームでの経験がある人ならわかると思うけど、結構…難しいんだよね。うまくいくこともあるけど、思ったよりは少ない。うまくいくときは、だいたい「BDFL」みたいな人がいたり、みんなが同じ目標を持ってることが多かったな。俺の場合は後者が多かった。

だから、NPMには400万以上の一人プロジェクトがあるけど、そのためのメンテナは約90万人いるんだ。このデータは最後に重要なポイントになるはずだよね。何か見落としてる？それとも、実際には重要なデータポイントじゃなかったのかな？

それに、複数人でメンテナンスしてるプロジェクトでも、ほとんどのコミットは一人が担当してることが多いんだよね。

DoDは、無料で手に入るものを見つけるのが得意で、みんなにそれを契約者チームに払うのが自分たちの利益だって納得させるのが上手いよね。

ソフトウェアコミュニティにはこの問題に対する誤解が多い気がする。まず、サプライチェーンリスクはソフトウェアやエンジニアリングの問題じゃなくて、ガバナンスの問題なんだ。プロジェクトにサプライチェーンリスクがあるからって、誰かが悪い人だとは限らないし、リスクを評価する人たちがみんな同じセキュリティ姿勢を持ってるわけでもない。国防総省（DoD）は、あなたが持っているのとは全然違うリスクを評価しているだろうしね。ほとんどのサプライチェーンリスクは、誰かのコードや性格を非難するものじゃない。たった一人でやってるプロジェクトは、その人が一人だからこそリスクが高いことが多い。バスファクターが1ってだけで、サプライチェーンリスクになるんだよね。ほとんどの人はパッケージを選ぶときに戦争の準備をしないけど、軍がそうするのは全然おかしくない。戦争中は、人々が自分自身や自分のプロジェクトを管理する能力が劇的に変わることが多いし、民主主義の国でもそうなんだ。戦時中は法律の力で協力を求めるのが普通で、アメリカも民間企業に戦争努力に協力させることができるし、実際にそうしてきた。これって、ほとんどの人のセキュリティ姿勢の計算には入ってないかもしれないけど、入ってる人もいるんだよね。

一人のメンテイナーがバスにひかれたり、他の理由で亡くなった場合、そういうプロジェクトに関する統計って誰か見たことある？データポイントがたくさんあるはずだから、もう研究するには十分だと思うんだけど。プロジェクトは別の一人の開発者に引き継がれるの？それとも似たようなプロジェクトに置き換えられるの？それともただ消えちゃうの？

「ダウンロード数を10億に変更するまで、1人がメンテナンスしているパッケージが1つ、複数人がメンテナンスしているパッケージが9つ見える。どれだろう？」

西側や、白黒で考えるリベラルな人たちは、世界をグレーに見ることができないから、西側にとって大きな損失をもたらすことになるよ。これも見たことがあるよね、‘キャンセル’マフィアのせいで。ロシア、つまりプーチンがウクライナに侵攻したからって、ロシア全体が悪いわけじゃないし、全く関わらないべきってわけでもない。アメリカがイラクに侵攻した後、誰もアメリカとの関わりをやめなかったよ。ロシアがLGBTQの権利を気にしないからって、ロシアが悪い国だとは限らない。同様に、中国が明確な権威主義体制を運営しているからって、中国が悪い国だとは限らない。トランプとそのバカな政府はこれを認識してるけど、やり方が間違ってるんだよね。とにかく、敵でも友達でも、利益が得られる限り貿易を続けるべきだよ。