现代计算系统高度依赖开源软件，但这些基石多由无偿或低薪志愿者维护。一份最新报告汇总了关键开源项目清单，揭示其长期面临的资金匮乏与人力短缺危机。数据显示，在列出的23个关键项目中，有11个目前仅由一至两名维护者支撑，普遍缺乏资金支持，甚至完全无资。
报告警告，极少数人负责关键软件维护的现状埋下了巨大隐患。鉴于这些软件的广泛普及性，一旦出现问题，后果往往极为严重。
前车之鉴
历史教训表明，单一维护者模式风险极高。2014年，与Heartbleed漏洞同年爆发的Shellshock漏洞轰动业界，该漏洞存在于Linux、macOS和Unix系统的Bash shell中，可追溯至1989年的一行代码。提交历史显示，Bash几乎完全由Chet Ramey一人维护。
2016年，广泛用于图像处理的ImageMag库被利用执行远程代码。2020年分析显示，其代码库中存在数百个安全问题，而近年来几乎所有贡献均来自Dirk Lemstra一人。近期的Log4Shell漏洞（2021年）、libwebp零日漏洞（2023年）以及xz压缩库被攻破事件（2024年），进一步印证了这一系统性风险。
高风险的“单人”维护
报告指出了多个处于高风险状态的具体仓库。由于工作无偿且压力巨大，维护者稀缺成为常态。
Linux系统核心的时区文件由UCLA教师Paul Eggert义务维护；支撑全球半数高流量网站JavaScript兼容性的Core-js项目，由Denis Pushkarev独自负责，他曾因在安装程序中寻求社区帮助而遭受非议。处理中东语言排版的HarfBuzz库主要由Behdad Esfahbod开发，未见公共或企业资助记录。
负责Android、Firefox及Chromium浏览器JPEG处理的Libjpeg-turbo项目，由D.R. Commander维护，其相关合同报酬据称仅为“三位数而非六位数”。处理XML读写的Libxml2项目，原始维护者Nick Wellnhofer在多年低收入工作后，已于2025年9月卸任。
此外，全球估计有十万亿个实例运行的SQLite数据库，仅由四人维系。出于对个人信息滥用的担忧，他们甚至从项目页面移除了姓名和照片。尽管该项目通过付费支持获取资金，但能否持续支撑四人团队仍存疑。
资金介入与行业责任
并非所有项目都陷入绝境。curl项目创始人Daniel Stenberg现已全职受雇，团队扩展至11人，并获得了Open Collective及德国主权技术机构（Sovereign Tech Agency）的资助。吸取过往教训，Log4j、OpenSSL、FFmpeg以及OpenSSH等项目也获得了德国主权技术机构的资金支持。
报告强调，鉴于这些软件的关键重要性，尤其是商业产品从中获益巨大的科技公司，理应进行大规模投资。即便在AI能快速发现漏洞的今天，向开源项目捐款不仅是道德义务，更应被视为一种必要的战略投资。