Ruby Centralが残した破壊的な遺産

 (andre.arko.net)
3 ポイント 投稿者 GN⁺ 5 시간 전 | 1件のコメント | WhatsAppで共有
  • RubyGems・Bundler・RubyGems.org の統制権を掌握してから10か月の間に、Ruby Central は カンファレンス2件、主要 OSS プロジェクト2件、コントリビューター9人 を失い、紛争も解決できていない
  • 以前のメンテナーたちの合意案を受け入れないまま、André Arko が Bundler の権利と雇用法関連の請求を放棄すれば 訴訟の脅しを取り下げる という条件を繰り返している
  • Ruby Central 側の弁護士は 2026年3月に Arko を FBI に通報 したが、Arko によれば 3回の監査でも自分が RubyGems.org に損害を与えた証拠は見つかっていない
  • 現在は Alpha-Omega 支援のセキュリティプロジェクトと Ruby Alliance を運営しているが、Arko はスポンサーの Gusto・Thoughtbot と理事会の間にある 公開されていない利益相反 を問題視している
  • 信頼を回復するには既存組織を元に戻すのではなく、gem.coop のような公開運営プロジェクト、新しいツール、コミュニティ選出の理事会 を備えた組織を作るべきだと提案している

支配権取得前後の Ruby Central

  • 約18か月前、Ruby Central は毎年 RubyConf と RailsConf を運営していた
  • Open Source Committee は Ufuk、Gabi、Mike の3人で構成され、OSS 人材を支援・調整していた
    • パートタイムのコミュニティコントリビューター7人: André、Arun、Ellen、Gift、Irene、Josef、Martin
    • フルタイムの OSS 開発者3人: Colby、Samuel、David
    • 対象プロジェクト: RubyGems、Bundler、RubyGems.org
  • 約10か月前、RubyGems コアチームの Ellen Dash が「敵対的買収」と呼んだ出来事が起き、10年以上プロジェクトを管理してきたチームがアクセス権を失った

10か月で失われた組織能力

  • 2つのカンファレンスはいずれも今後の予定がない状態になった
  • 主要 OSS プロジェクト3件のうち2件を失い、Bundler と RubyGems を Matz に移管した
  • OSS コントリビューター10人のうち 9人 が離脱した
    • RubyGems.org 運営者7人のうち6人
    • フルタイム OSS コントリビューター3人のうち2人
    • OSS 関連記事を担当していた人員2人全員
  • Open Source Committee 委員3人全員、理事7人のうち5人、Executive Director 3人全員が離任した
  • 主要な財政スポンサーである Sidekiq と Shopify も離脱したが、Shopify は9か月後に Ruby Alliance へ再参加した

選挙のない理事会構造

  • Ruby Central は Python Software Foundation と違って 理事選挙を実施しない
  • 今年、定款全体を改定したが、新しい理事は依然として既存理事だけが任命し、公開の意見募集手続きもない
  • 現在の理事会は、買収を承認した旧理事7人のうち残った2人と、以前の理事会が選んだ Brandon、Jey、Ran ら新任理事3人で構成されている

新しいセキュリティプロジェクトと Ruby Alliance

  • 2つのカンファレンスを終え、OSS の半分を移管した後に、公に追加したプログラムは Alpha-Omega 助成金で運営される セキュリティプロジェクト 1件だけだった
  • このプロジェクトは Anthropic の Project Glasswing を使って、すでに配布された gem のセキュリティ問題を探している
  • 2026年6月の最初の月次報告 は脆弱性5件を報告した
    • 中程度の深刻度 1件
    • 低いか未分類の深刻度 4件
  • Ruby Alliance には Gusto、Thoughtbot、Shopify が参加している
  • Arko はスポンサー告知から抜け落ちている 利益相反の可能性 を問題視している
    • 理事の David Corson-Knowles は Gusto の Senior Staff Engineer
    • 理事会議長の Ran Craycraft は Thoughtbot の Managing Director, Americas
    • スポンサー資金を配分する理事たちが、自分を雇用している会社からスポンサー資金を受け取る構造になっている
  • Shopify は9か月で戻ってきており、Arko は当時 Shopify が Ruby Central に買収を求めたという外部報道を引用している

未解決の Bundler・RubyGems 紛争

  • Ruby Central は 2025年10月から Arko に対して 訴訟を起こすと脅して おり、それを取り下げていない
  • 紛争は、Ruby Central が 2025年9月に Bundler と RubyGems の GitHub プロジェクトを既存メンテナーから取り上げたことで始まった
  • Arko が自分に Bundler 名称の権利がある と知らせると、Ruby Central はいわゆる「ハッキング」を理由に訴訟を警告した
  • Arko はそのハッキング主張を一貫して否定してきた
  • Ruby Central は、次の請求を放棄すれば訴訟の脅しを取り下げるという立場を維持している
    • Bundler 名称侵害の請求
    • 契約者業務が州の労働法に違反した可能性と未払い補償の請求

プロジェクト移管後も続いた合意の試み

  • 訴訟の脅しにもかかわらず Arko が請求を放棄しなかったため、Ruby Central は Bundler gem と RubyGems の GitHub リポジトリを Matz に引き渡した
  • 以前のメンテナーたちは新しい合意案を提案したが、Ruby Central は返答しなかった
  • その代わり、Arko 一人がすべての請求を放棄すれば訴訟の脅しを取り下げるという従来の条件を繰り返した
  • その後 4か月間進展がなかったため、Arko は公開の進捗報告を投稿した

約45万ドルの算定と実際の要求条件

  • Ruby Central は外部資金で和解金を支払うとして、Arko に金額の算定を求めた
  • 要求範囲は弁護士費用、未払いの可能性がある金額、解雇後6か月分の補償で、専門家の協力で算出した金額は約 45万ドル だった
  • Arko は、この金額を自ら直接要求したのではなく、Ruby Central の資金調達要請に応じて提供したものだと説明している
  • 実際に継続して求めていた条件は2つだった
    • 証拠なく評判を攻撃したことへの謝罪
    • 45万ドルよりはるかに少ない弁護士費用の返還

FBI への通報と刑事捜査の可能性

  • 和解資金を探す一方で、Ruby Central 側の弁護士は Arko を FBI に通報 し、刑事捜査を要請した
  • 2026年3月9日、その弁護士は Arko 側の弁護士に通報の事実を知らせ、刑事専門の弁護士が必要になるかもしれないと伝えた
  • Arko によれば、RubyGems の AWS アカウントは3回監査されたが、自分が損害を引き起こした証拠は見つからなかった
  • FBI への通報は取り下げられないため、Ruby Central がもう進める意思はないと表明しても、捜査するかどうかは FBI が決める

資金枯渇後に示した最小限の合意案

  • Ruby Central は FBI への通報から数週間後に資金が枯渇したと発表した
  • Arko はこれを前向きなシグナルと見て、新しい解決案を提示した
  • この提案では、Bundler の返還、雇用法に基づく補償、謝罪を求めなかった
    • RubyGems に損害を与えていないという公開確認
    • 訴訟の脅しによって生じた弁護士費用の返還
  • Ruby Central はその提案と複数回の連絡に 6週間返答しなかった

一方にだけ適用される誹謗禁止条件

  • 6週間後、Ruby Central は次の条件を満たせば訴訟の脅しを取り下げるという案を再び送ってきた
    • Bundler 商標侵害請求の放棄
    • 雇用法違反請求の放棄
    • Arko にだけ適用され、Ruby Central には適用されない誹謗禁止合意
  • 新条件として、FBI に刑事訴追を控えるよう勧告し、捜査や起訴が始まった場合は法律で求められる範囲でのみ協力する、と提案した
  • Arko は、複数の州法・連邦法が 刑事捜査への協力を制限する合意 自体を犯罪とみなし得るため、受け入れられなかったと述べている

謝罪を条件にした対案

  • Ruby Central は FBI への通報を取り下げることも、すでに引き渡したリポジトリを戻すこともできず、資金もなく補償は難しい状態だった
  • Arko は次の条件で権利および雇用法の請求を放棄するという対案を送った
    • Ruby Central による訴訟の脅しの撤回
    • 証拠なく RubyGems.org に損害を与えたと公に非難したことへの謝罪
    • ユーザーの PII を得ようとしたという主張への謝罪
    • 買収のために Bundler・RubyGems のガバナンスを破壊したことへの謝罪
  • Ruby Central は謝罪要求そのものには反対しなかったが、組織には適用されず Arko にのみ適用される誹謗禁止条件に固執した
  • 対案の後 30日間返答がなく、1日以内に返答時期を示すという弁護士の約束も守られなかった

公開説明後にも残る疑問

  • Ruby Central は、10年以上活動してきたメンテナーたちをプロジェクトから排除したことが誤りだったと認めても謝罪してもいない
  • 公に示した唯一の買収理由は「セキュリティの改善」だった
  • Arko は、セキュリティ移行を安全に実行できる専門家を全員排除したうえで、システムのセキュリティ失敗を責任を持って開示した自分をハッキング容疑で非難したと反論している
  • Ruby Central は3回の別個の監査を実施したが、Arko によれば損害の証拠は見つからなかった
  • Ruby Central の Fracture Incident Report は「収束」を目的としていたが、次の疑問には答えていない
    • 理事会が実際にどのような措置を採決したのか
    • 買収で何を得ようとしていたのか
    • なぜ他のメンテナーではなく Arko 個人だけを標的にしたのか
    • なぜすぐに訴訟の脅しへつながったのか
    • 損害の証拠もないのになぜ FBI を関与させたのか
  • 元 Executive Director の Shan Cureton は、コミュニティが事件の全容を知る必要はないという趣旨の公開見解を示し、組織は彼の退任後も原因の公開を拒んでいる

Ruby Central が築いたコミュニティ

  • Ruby Central のカンファレンスは、Arko が Ruby コミュニティに参加し長期的に貢献するきっかけだった
  • 2005年の San Diego RubyConf で次を経験した
    • Matz が -> の「stabby lambda」構文を提案した発表
    • Jim Weirich が Nintendo 64 と The Legend of Zelda: Ocarina of Time で continuation を実演した call_cc の発表
    • その年の12月の Rails 1.0 リリース準備を進めていた Rails コアチーム
    • Freenode IRC と UCSD の参加者を通じて結ばれ、20年以上続く関係
  • 2006年の最初の RailsConf で会った人の提案で、最初の正社員の仕事を得た
  • この経験は次の活動につながった
    • 2009年の Bundler 1.0 の開発・リリース
    • 15年間の Bundler メンテナンス
    • 10年以上の RubyGems と RubyGems.org への取り組み
    • 7年間の非営利団体 Ruby Together の設立・運営
  • Ruby Together と Ruby Central の合併は、2001年から2021年まで Ruby Central が積み上げてきたカンファレンス・コミュニティ運営の実績を信頼して決めたものだった

公開ガバナンスで新しいエコシステムを作る

  • Ruby Central は25年の歴史で初めて、予定されているカンファレンスが1件もなく、今回の紛争は強化しようとしていたコミュニティガバナンスをむしろ損なった
  • メンテナーたちは長年育てたプロジェクトから排除され、その結果を正当化する具体的な理由や実質的な利点も公開されていない
  • Ruby コミュニティは新しいプロジェクトと組織を自ら作れる
  • 過去の Ruby Central カンファレンスや Ruby Together を復元しようとするのではなく、公開ガバナンスと新しいツール を軸に Ruby の未来を作り直すべきだ

関連記事

1件のコメント

 
GN⁺ 5 시간 전
Lobste.rsのコメント

  • RubyConf 2005が近くのSan Diegoで開催されると知って驚き、プログラミング好きだった唯一の友人2人と一緒に参加したが、記事に出てくるその人物は自分のこと
    2009年にRuby開発の仕事を離れてからはRubyを使っていないが、当時のカンファレンスは良い思い出として残っており、今回の件に対するRuby Centralの対応がここまでひどかったのは残念

    • 一方の話だけを聞かなければ、状況はもう少し悪く見えなくなるかもしれない
      RedditではRuby CentralがFBIへの通報を始めたという誤解が広まったが、実際には法律の専門家がRuby Centralと相談せずに事実関係を独自に判断して通報したもの
      当時自分がオープンソース委員会にいたとしても止められなかっただろうし、Ruby Centralの誰にもそれを止める権限はなかった
      通報内容は「Ruby CentralがX日間AWSインフラの統制権を失った」というようなもので、受理後に取り下げることはできても、正式な告発ではなかった
      Ruby Centralには学び改善すべき点が多いが、状況と出来事を正確に伝えることも重要

  • Andreはかなり前から、静かで穏やかなやり方でRubyGems・Bundler・RubyGems.orgの掌握を試みていたと思う
    次のインシデント報告書はこれを明示的に断定してはいないが、裏づけにはなっている: https://rubycentral.org/news/rubygems-fracture-incident-report/
    Andreが2025年2月に、代替のRuby Central担当者も置かないままEvan PhoenixのGitHubアクセス権を削除し、オープンソース責任者を排除した件は前例がなかった
    オープンソース責任者には1Passwordの管理者権限も引き継ぐべきだったが、役職移管後も補助的な1Passwordアカウントの管理者権限を保持していた
    その結果、AndreはAWSアカウントを掌握して他の管理者を全員排除し、Ruby Centralを運用環境から締め出すことができたのであり、1人でオープンソース責任者をAWSと1Passwordの両方から排除できるようであってはならなかった
    また、GitHubアクセス権と運用環境の管理者権限の関連性についてコミュニティに誤った説明を行い、アクセス権喪失後も数か月にわたってその説明を維持し、Ruby Centralが彼の運用権限を完全に削除しようとして失敗した後でさえ、今なおセキュリティリスクを過小評価している
    Ruby Centralが適切な利害関係者として扱われ、RubyGems.orgの運営に必要な権限をきちんと引き継いでいれば、敵対的買収のようなことをする必要も、Andreを排除する必要もなかったはず
    利益相反は非常に重要であり、オープンソース責任者が自分への資金提供を監督する委員会に座るべきではない
    AndreがRuby TogetherをRuby Centralに統合した際、自分に支払われる資金を監督するオープンソース委員会の委員でもあったという構図は、プロフェッショナルでも倫理的でもなかった
    オープンソース労働の有償化への道を開いた点は高く評価するが、有償労働とボランティア労働の境界を明確に定義し、曖昧にしないための重要な仕事は十分に果たせなかったと思う
    法的問題を含む他の内容についても、よくて半分しか事実でない箇所が多いが、自分は理事会メンバーでも弁護士でもなく、家族旅行中なので追加の回答は難しい可能性が高い