354 مليار تنزيل شهرياً من صائن واحد: الفاتورة التي لا يدفعها أحد

تطبيقك الذي تشحنه غداً يعتمد على أكثر من ألف حزمة. أنت اخترت منها عشراً أو عشرين بوعي، والباقي جاء تبعاً للتبعيات. والسؤال الذي لا يسأله أحد قبل النشر: من الذي يصون هذه الألف حزمة؟

الجواب الرقمي صادم أكثر مما ينبغي: تحليل حديث لبيانات التنزيل وجد أن 354 مليار تنزيل من أصل 460 ملياراً شهرياً تأتي من مستودعات يقف خلفها شخص واحد فقط. أي أن قرابة ثلاثة أرباع حركة التبعيات في العالم تمرّ عبر مطوّرين منفردين، أغلبهم متطوّعون لا يتقاضون شيئاً. وفي سبتمبر 2026 توقّف الحديث عن كونه إحصاءً مقلقاً وصار سلسلة استقالات فعلية.

ما الذي تغيّر هذا العام تحديداً؟

الأزمة ليست جديدة، لكن ثلاثة عوامل التقت دفعةً واحدة فجعلت 2026 عام الانكسار المرئي.

الأول: الاستقالات صارت من قلب البنية التحتية لا من أطرافها. حين يتوقّف صيانة مكتبة صغيرة، يمرّ الخبر بلا صدى. لكن مشاريع مثل libxml2 — مكتبة معالجة XML التي تعتمد عليها المتصفحات وأنظمة التشغيل وآلاف التطبيقات — دخلت فترة كاملة موسومة رسمياً بأنها «غير مصانة، وفيها ثغرات معروفة، ولا يُنصح بمعالجة بيانات غير موثوقة بها». صائنها الذي حملها منذ 2015 أعلن انسحابه، وقبلها بأشهر كان قد أوقف استقبال بلاغات الثغرات المحجوبة لأن فرزها وحده كان يبتلع ساعات من أسبوعه بلا مقابل.

الثاني: المال وحده لم يُصلح شيئاً. هذه هي المفاجأة التي تقلب الحلّ الشائع رأساً على عقب. مشروع External Secrets Operator جمّد تحديثاته بعد احتراق أربعة من صائنيه، ولم يتبقَّ سوى مساهم نشط واحد — رغم وجود رعاية مؤسسية وتمويل فعلي. كانت جملتهم في الإعلان أوضح من أي دراسة: المال لا يكتب كوداً، ولا يراجع طلبات الدمج، ولا يدير الإصدارات. كانوا يحتاجون بشراً، لا شيكات.

الثالث، وهو الأحدث: الذكاء الاصطناعي ضاعف الطلب على وقت الصيانة دون أن يضاعف عدد الصائنين. صار العثور على ثغرة محتملة أرخص بكثير، والأدوات الآلية ترفع بلاغات بسرعة لم تكن ممكنة قبل عامين. وصارت طلبات الدمج المولّدة آلياً — بعضها صحيح وكثير منها سطحي — تصل بأحجام تتطلب مراجعة بشرية كاملة لكل واحد منها. الطرف الآخر من هذا السيل هو نفسه الشخص المتطوّع المنهك.

المفارقة أن الذكاء الاصطناعي خفّض كلفة إنتاج المساهمة إلى ما يقارب الصفر، وترك كلفة تقييمها كما هي بالضبط. والفجوة بين الرقمين هي ما ينكسر تحته الصائنون واحداً بعد الآخر.

من يحمل الوزن فعلاً؟ الأرقام

أمثلة ملموسة تجعل الأرقام أقرب: حزمة glob التي تقوم عليها أدوات بحجم Webpack وJest وTypeScript تخدم مئات ملايين التنزيلات أسبوعياً بصائن واحد منذ أكثر من ثلاثة عشر عاماً. وحزمة cross-spawn بمئة وتسعين مليون تنزيل أسبوعياً تقريباً تحت إدارة شخص واحد أيضاً. ليست حزماً هامشية تنساها — هي في مسار البناء لدى كل من يقرأ هذا المقال تقريباً.

لماذا يعنيك هذا بشكل مباشر؟

قد تقول إن هذا شأن مجتمع المصادر المفتوحة لا شأنك. عملياً ينتقل إليك عبر ثلاث قنوات:

• ثغرة بلا رقعة. مكتبة بلا صائن تعني أن ثغرة تُكتشف اليوم قد تبقى مفتوحة شهوراً. مسؤوليتك أنت أمام مستخدميك لا تتوقّف لأن المتطوّع توقّف.
• توقّف التوافق. إصدار جديد من Node أو من نظام التشغيل يكسر حزمة مهجورة، فتجد نفسك أمام خيارين: أن تصونها بنفسك، أو أن تهاجر منها على عجل.
• باب خلفي بشري. الدرس الأشهر هنا هو ثغرة XZ Utils: ضغط اجتماعي طويل على صائن منفرد منهك جعل ظهور «متعاون متحمّس» يطلب صلاحيات الدمج يبدو إنقاذاً لا تهديداً. الإنهاك نفسه كان سطح الهجوم.

ماذا تفعل عملياً هذا الأسبوع؟

هذه ليست دعوة عاطفية للتبرّع. هي خطوات تقلّل مخاطرك أنت، ويصادف أنها تخفّف الضغط عن الطرف الآخر:

1. دقّق شجرة تبعياتك بحثاً عن نقاط الفشل المنفردة. لا تنظر إلى الحزم التي كتبتها في ملف التبعيات فحسب، بل إلى الشجرة الكاملة. الحزم التي تستحق الانتباه هي: عميقة في الشجرة، بصائن واحد، وآخر إصدار لها قديم.
2. رتّب النتائج حسب الأثر لا حسب العدد. ستجد عشرات الحزم بصائن منفرد؛ أغلبها لا يلمس بيانات ولا شبكة. ركّز على ما يعالج مدخلات غير موثوقة (تحليل، فكّ ضغط، تشفير، شبكة) — هذه هي التي تتحوّل ثغرتها إلى حادثة.
3. ثبّت الإصدارات وفعّل التحقق من السلامة. ملف قفل محترم مع تدقيق التوقيعات يمنع أن يصل إليك إصدار مسموم نُشر بحساب صائن مخترق.
4. راقب حالة الصيانة لا حالة الأمان فقط. أدوات الفحص تخبرك بالثغرات المعروفة. لا تخبرك أن المشروع لم يستقبل أي التزام منذ أربعة عشر شهراً، وهذا مؤشر أبكر.
5. جهّز خطة خروج للحزم الحرجة المهجورة. اعرف اليوم ما البديل، وكم تكلّف الهجرة. اكتشاف ذلك أثناء حادثة أمنية هو أسوأ توقيت ممكن.
6. إن كنت في شركة تعتمد على حزمة بعينها، ساهم فيها بالوقت لا بالمال فقط. مراجعة طلبات الدمج، فرز البلاغات، كتابة الاختبارات — هذه هي الموارد النادرة فعلاً، والتمويل وحده أثبت أنه لا يشتريها.

وماذا عن استخدام الذكاء الاصطناعي هنا؟

الأداة التي فاقمت المشكلة يمكن أن تخفّفها، بشرط واحد: أن توجَّه إلى جانب المستهلك لا إلى جانب الصائن. استخدمها لتلخيص سجلّ تغييرات حزمة قبل الترقية، أو لفحص الفرق بين إصدارين، أو لتوليد اختبارات تغطّي استخدامك للمكتبة قبل هجرة. أما إرسال طلبات دمج مولّدة بالجملة إلى مشاريع لا تعرفها فهو نقل للعبء لا حلّ له — ومشاريع كثيرة بدأت فعلاً تضع سياسات صريحة ترفضه.

أسئلة شائعة

هل معنى ذلك أن الاعتماد على المصادر المفتوحة صار خطأً؟ لا، والبديل أسوأ بكثير. كتابة كل شيء بنفسك يعني كوداً أقل مراجعةً وأضعف اختباراً وبلا أعين كثيرة عليه. القضية ليست في الاعتماد بل في الاعتماد الأعمى: أن تبني منتجاً تجارياً على مكوّنات لم تسأل يوماً من يصونها ولا ما حالته.

كيف أعرف إن كانت حزمة بعينها تعتمد على صائن واحد؟ أسرع مؤشر عملي هو صفحة المشروع نفسها: عدد المساهمين النشطين خلال آخر سنة (لا الإجمالي التاريخي)، وتاريخ آخر التزام، ووتيرة الردّ على المشكلات المفتوحة. مشروع بمساهم واحد نشط وعشرات المشكلات بلا ردّ منذ أشهر يعطيك صورة أوضح من أي شارة في ملف التوثيق.

هل التبرّع المالي عديم الجدوى إذاً؟ ليس عديمه، لكنه ليس كافياً وحده. التمويل يساعد الصائن المتفرّغ على الاستمرار، ولا يصنع صائناً ثانياً من العدم. الحالات التي تعافت فعلاً هذا العام تعافت لأن أشخاصاً جدداً تقدّموا لتحمّل المسؤولية — لا لأن حساباً بنكياً امتلأ.

الخلاصة

الرقم الذي يستحق أن تحمله من هذا المقال ليس 354 ملياراً، بل الرقم واحد: عدد الأشخاص الذين يقفون خلف جزء كبير مما تشحنه إلى الإنتاج. المصادر المفتوحة لم تنكسر، لكن توزيع الحمل فيها صار مختلاً إلى حدّ أن استقالة فرد واحد تكفي لوسم مكتبة تعتمد عليها المتصفحات بأنها غير مصانة.

ما يمكنك فعله محدود لكنه ليس صفراً: اعرف أي حزمة في شجرتك هي نقطة فشل منفردة، ورتّبها حسب ما تلمسه من بيانات، وجهّز خطة خروج قبل أن تحتاجها. أما إن كنت تبني على هذه المكتبات وتربح منها، فأصدق طريقة للسداد ليست شيكاً — بل ساعة مراجعة أسبوعية لطلب دمج لا يخصّك.