„Платете или спрете да търсите бъговете“. Разработчиците на FFmpeg поставиха ултиматум на Google и другите корпорации

Изкуственият интелект на Google откри грешка от 1995 г. и това доведе до спор за справедливостта на отворения код.

Един от най-важните софтуерни проекти с отворен код – FFmpeg – се оказа в центъра на спор за това кой е отговорен за сигурността на ключовите компоненти на интернет. Дебатът избухна, след като изкуственият интелект на Google откри уязвимост в FFmpeg – кодека Smush на LucasArts, отговорен за първите кадри на Rebel Assault 2 (1995 г.). Грешката беше отстранена, но от проекта заявиха: поправките се извършват от доброволци, а не от корпорации, които печелят пари от това.

FFmpeg е мощен мултимедиен фреймуърк, който осигурява обработката на аудио и видео за VLC, Kodi, Plex, браузърите Google Chrome и Firefox, както и за видео услуги като YouTube. Нейните библиотеки libavcodec и libavformat са в основата на почти цялата екосистема на съвременните медийни платформи. В същото време разработката се извършва почти изцяло от доброволци.

Конфликтът е предизвикан от съобщението на FFmpeg до X: „Сигурността е изключително важна за нас, но кръпките се пишат от доброволци“. Това беше последвано от вълна от коментари за гиганти като Google и Amazon, които активно използват FFmpeg, но не го поддържат пряко.

Експертът по отворен код Марк Атууд напомни, че проекти като FFmpeg нямат статут на контрагенти, нямат NDA и „могат да спрат три корпоративни продуктови линии с едно писмо“. Според него дори убеждаването на ръководството на Amazon да финансира тези разработчици се оказва невъзможно.

Ситуацията се влоши от новата политика на Google по Project Zero, която от юли 2025 г. публикува известия за уязвимости в рамките на една седмица след откриването им, дори ако поправката все още не е готова. За доброволците, които не разполагат с необходимите ресурси или заплата, 90-дневният срок за поправка изглежда като натиск от страна на корпорацията.

FFmpeg заяви, че смята за несправедливо да се използва изкуствен интелект за откриване на грешки в „хоби код“ и след това да се изисква всичко да бъде поправено. От своя страна Google се позовава на това, че по този начин защитава общите цифрови интереси и дори предлага програма за награди за пачове. Както обаче посочват разработчиците на FFmpeg, програмата е твърде ограничена и не покрива реалния обхват на работата.

Ръководителят на Chainguard Дан Лоренц заяви, че „намирането и публикуването на уязвимости също е принос към общото благо“, а Google прави повече за отворения код, отколкото почти всяка друга организация. Но членовете на общността виждат това по различен начин: корпорациите с приходи от трилиони долари прехвърлят работното натоварване на доброволците.

И други ключови проекти се сблъскват с подобни проблеми, включително libxml2, който се поддържаше от Ник Велнхофер. Той обяви, че прекратява работата си, като обясни, че ежеседмичното анализиране на „неприоритетни уязвимости“ отнема часове без никаква компенсация.

Без допълнителна подкрепа от страна на корпорациите, които печелят от отворения код, много критични проекти, които разчитат на работата на доброволците, може да останат без поддръжка и напълно да спрат да се развиват.