Rug pull, fork ve açık kaynak feodalizmi

• Açık kaynak ekosistemindeki güç dinamiklerinin şirketler, geliştiriciler ve kullanıcılar arasında nasıl işlediğine ve bunu sarsan rug pull (yeniden lisanslama) ile fork taktiklerinin etkisine dair bir derleme
• Büyük bulut sağlayıcıları önemli etki gücü kullanırken, tek bir şirket merkezli projeler yeniden lisanslama ile gücü yeniden dağıtabiliyor; buna karşılık fork ortaya çıkıyor
• Vaka analizlerinde Elasticsearch→OpenSearch, Terraform→OpenTofu, Redis→Valkey, Puppet→OpenVox gibi örneklerde farklı topluluk yeniden yapılanmaları ve katkıcı göçleri görülüyor
• CLA benimsenmesi, tek şirket hâkimiyeti, vakfa devrin zamanlaması gibi unsurlar rug pull için risk sinyalleri olarak sunulurken, tarafsız yönetişim ve çok kurumlu katkı tabanının genişletilmesi karşı stratejiler olarak öneriliyor
• Sonuç olarak yeniden lisanslama, bulut şirketlerini dengeleme aracı olabilir; ancak katkıcıların yetkisini de birlikte zayıflatır ve fork olasılığı şirketlerin kararlarında caydırıcı bir unsur olarak çalışır

---

Açık kaynakta güç yapısı, rug pull ve fork

• Açık kaynak yazılım ekosisteminde büyük şirketler, KOBİ'ler, katkıcılar ve kullanıcılar, kendi yazılımın yönü ve gelir yapısı üzerinde etkili olmak için güç kullanır
• Özellikle büyük bulut sağlayıcıları ciddi bir güç sahibi hâline gelir ve küçük şirketler ya da topluluklara göre üstün konuma geçme eğilimi gösterir
• Bu durumda geliştirici şirket ya da projeyi sahiplenen şirket yazılım lisansını değiştirerek (rug pull), ya da tersine topluluk veya başka şirketler fork başlatarak güç kaymasına yol açar

Güç dinamikleri ve taktiklere genel bakış

• Açık kaynak dünyasında büyük bulut sağlayıcıları en güçlü kanal ve dağıtım gücünü kullanır; bu da küçük şirketleri, katkıcıları ve kullanıcıları sömüren bir yapı oluşturur
  • Feodalizm çağında toprağın kontrolüne benzer şekilde, bulut sağlayıcıları açık kaynak yazılımı hizmetleştirirken katkı yapmaktan kaçınır
  • Geliştirme işinin büyük kısmını küçük şirketler üstlenir; ancak bulut sağlayıcılarının ücretsiz kullanımından dolayı dezavantajlı konuma düşerler
• Rug pull taktiğiyle küçük şirketler, bulut sağlayıcılarına karşılık vermek için yazılımı yeniden lisanslar; ancak bu, katkıcılara ve kullanıcılara daha büyük zarar verir
  • Bulut sağlayıcıları projeyi hizmete dönüştürürken katkı yapmadığı için küçük şirketlerin gücü zayıflar
  • Yeniden lisanslama kullanıcılar için olumsuz sonuçlar doğurur; ancak fork yoluyla güç dengesi yeniden ayarlanabilir
• Tek şirketin yönlendirdiği projelerde rug pull riski yüksektir; bu yüzden şirket itibarı değerlendirilmelidir, ancak birleşme-devralmalar ya da iflas bunu anlamsız kılabilir
  • Yatırımcı baskısıyla geliri artırmak için yeniden lisanslama görülebilir; özellikle bulut sağlayıcılarıyla rekabette bu daha sık yaşanır
  • Daha kısıtlayıcı lisanslarla diğer şirketlerin gelir elde etmesi zorlaştırılarak güç kaydırılmaya çalışılır
• Rug pull sonucu fork oluşumu, gücü geri kazanmak için isyankâr bir kolektif eylem işlevi görebilir; ancak insan gücü ve kaynak eksikliği nedeniyle başarısızlık riski yüksektir
  • Büyük şirketler veya bulut sağlayıcıları kaynaklarıyla fork'ları destekleyebilir; ancak popüler fork'lar her zaman başarılı olmaz
  • MongoDB veya Sentry örneklerinde fork ortaya çıkmamış durumlar da vardır; Perforce'un Puppet'i satın almasının ardından geliştirmeyi kapatması OpenVox fork'unu tetiklemiştir

Başlıca vakaların karşılaştırması

Dawn Foster, çeşitli rug pull'ları, fork'ları ve sonrasındaki etkileri veriler üzerinden analiz ediyor. (Sonuçların bir kısmı Jupyter notebook veri kümesiyle paylaşılıyor)

• Elasticsearch → OpenSearch
  • 2021'de Elastic'in SSPL yeniden lisanslamasının ardından AWS, OpenSearch fork'unu organize etti
  • Elastic'te şirket içi katkıcı oranı fork öncesi ve sonrasında büyük ölçüde değişmedi; OpenSearch'te ise Amazon liderliğindeki katkı sürüyor
  • Analize göre 2024'te Linux Foundation'a devredilmesinin ardından da dış katkılarda belirgin bir sıçrama görülmedi
• Terraform → OpenTofu
  • 2023'te HashiCorp'un BSL'ye geçmesinin hemen ardından OpenTofu, Linux Foundation çatısı altında başlatıldı
  • Terraform hâlâ şirket içi merkezli katkı yapısını korurken, OpenTofu'ya birden çok şirketten yeni katkıcılar hızla akın etti
  • Bu vaka, kullanıcı öncülüğündeki fork + tarafsız vakıf başlangıcının, aktif topluluk oluşumu için elverişli olduğunu gösteriyor
• Redis → Valkey
  • 2024'te Redis'in SSPL'ye geçmesinin hemen ardından mevcut dış katkıcıların büyük bölümü Valkey'e geçti
  • Redis, fork öncesinde dış katkı oranı yüksek olan istisnai bir vakaydı; fork sonrasında dış katkı sıfıra keskin biçimde düştü, Valkey ise çok şirketli bir topluluk ittifakı olarak başladı
• Puppet → OpenVox
  • Perforce satın almasından (2022) sonra geliştirme ve sürümlerin kapalı hâle gelmesi ile sürüm sıklığının azalması yaşandı; buna karşılık topluluk OpenVox fork'unu başlattı

Veri gözlemleri ve metrikler

• Rug pull sonrasında GitHub fork sayısında keskin artış sık görülür; bu, hard fork değerlendirmesi hareketinin bir proxy sinyali olarak yorumlanır
  • Uzun vadede orijinal ile fork'un birlikte ilerleme eğilimi vardır; ancak yeniden lisanslanan orijinal projenin kullanımında düşüş gözlemlendiği belirtiliyor
• Bir vakıf çatısı altında başlatılmak, yeni projelerin erken döneminde katkı çekme açısından avantajlıdır; ancak sonradan devirin etkisi sınırlı kalabilir
  • OpenSearch örneği, tek başına devir işleminin dış katkılarda patlama yaratmayı garanti etmediğini gösteriyor

Risk sinyalleri ve kılavuz ilkeler

• CLA (Contributor License Agreement) kullanımı, şirkette yeniden lisanslama yetkisini yoğunlaştırarak güç dengesizliğini büyüten bir sinyaldir
  • DCO (Developers Certificate of Origin) temelli projelerde rug pull riskinin görece daha düşük olma eğilimi vardır
• Yönetişim denetimi gerekir; tek şirket hâkimiyeti ve liderliğin tek elde toplanması risk faktörleridir
  • Tarafsız vakıf, çok kurumlu liderlik ve geniş dış katkı tabanı olan projeler sürdürülebilirlik açısından daha avantajlıdır
• Katkıcı tabanının genişliği ve derinliği de temel değerlendirme başlıkları arasındadır
  • Şirketler, bağımlı oldukları projelere doğrudan katkıcı göndermeyle hem etki gücünü hem sürdürülebilirliği artırmalıdır
  • CHAOSS'un metrikleri ve uygulayıcı rehberi, proje sağlığını değerlendirme ve iyileştirme için kullanılabilir

Topluluk ve yönetişim önerileri

• Tarafsız yönetişim yapısına yönelmek ve dış katkıcıları artırmak, rug pull'u caydırmanın pratik yollarıdır
  • Fork olasılığının kendisi bile şirketlerin yeniden lisanslama kararının maliyetini yükselterek caydırıcı etki yaratır
• Hazel Weakly'nin koruma mekanizmalarına ilişkin sorusuna yanıt olarak konuşmacı, Valkey ve OpenTofu başarısının şirketleri yeniden lisanslamayı yeniden düşünmeye ittiği gerçek örneklerden söz etti
  • Dirk Hohndel, daha fazla dış katkıcı çekmenin rug pull riskini artırarak yönetim kararlarının riskini büyüttüğünü vurguladı

Sonuç

• Büyük bulut sağlayıcılarının etkisi arttıkça açık kaynak ekosistemi giderek daha feodal bir yapıya dönüşüyor
• Lisans değişikliği, bulut şirketlerinin gücünü dengeleyebilir; ancak bu süreçte topluluk katkıcılarının yetkisini azaltan bir yan etki ortaya çıkar
• Buna karşılık katkıcılarda ve kullanıcılarda 'fork' biçiminde bir karşı hamle aracı vardır; bu da açık kaynağı feodal dönemden ayıran özgün güçtür
• Fork'un gerçek bir olasılık olması, şirketlerin gelecekteki politika kararlarını etkiler; nitekim Valkey ve OpenTofu'nun başarısından etkilenerek bazı şirketler rug pull planlarını geri çekmiştir
• Son tahlilde projenin yönetişim tarafsızlığı ve dış katkıcıların canlandırılması, rug pull'u önlemek ve sağlıklı bir ekosistemi korumak için kilit önemdedir

Kaynaklar

• Sunum slaytları: Power Dynamics, Rug Pulls & Other Impact on Sustainability