开源安全基金会（openssf）携手多个重量级开源组织发布联合声明，警示现代软件开发所依赖的关键基础设施正面临崩溃风险。
声明中明确指出：“开源基础设施并非免费”。随着带宽、存储、人力、合规以及安全响应成本不断攀升，部分大型企业却长期无偿进行大规模使用，甚至通过扫描器和自动化智能体对系统发起“轰炸式”数据抓取，造成资源浪费与系统过载，被定性为“非理性使用行为”。
各大基金会共同呼吁：科技巨头应承担起责任，为关键开源设施提供资金支持，推动商业合作、分级访问机制及增值服务体系的建立，以保障生态可持续发展。否则，整个开源体系将难以为继。
像 Maven Central、PyPI、crates.io、npm 和 Packagist 等核心软件包注册中心，每月需处理高达数十亿次的下载请求。然而，支撑这些平台运行的组织大多仅靠零星捐款、外部资助和少数赞助商的支持艰难维系。
“商业级别的使用必须匹配商业级别的投入，否则不可持续。”声明强调，并提到当前对快速依赖解析、签名包分发、零宕机保障以及应对供应链攻击的迫切需求，更别提即将落地的监管法规，例如欧盟《网络弹性法案》。
此份公开信由包括 Eclipse 基金会、Rust 基金会、Sonatype 以及 Python 软件基金会在内的八个权威组织联合签署。
源码地址：点击下载
