Google thay thế thẻ Git bằng Google Drive cho một số mã nguồn: Bước lùi về minh bạch?

Một phát hiện mới từ nhóm phát triển GrapheneOS cho thấy Google đã âm thầm thay đổi cách phân phối mã nguồn cho một số dự án phần mềm. Cụ thể, thay vì sử dụng thẻ Git (git tags) — vốn là chuẩn mực trong việc quản lý phiên bản và xác thực nguồn gốc mã — Google chuyển sang cung cấp các tệp mã nguồn dưới dạng tải xuống trực tiếp từ Google Drive. Điều này ngay lập tức gây ra nhiều tranh cãi trong cộng đồng kỹ thuật, đặc biệt là những người coi trọng tính minh bạch trong phát triển phần mềm nguồn mở.

Vấn đề nằm ở đâu?

Theo chia sẻ trên mạng xã hội Mastodon của dự án GrapheneOS, việc sử dụng Google Drive thay cho thẻ Git tạo ra một số hệ lụy nghiêm trọng:

• Mất khả năng xác minh nguồn gốc: Thẻ Git được gắn với lịch sử commit trong kho lưu trữ, giúp xác định chính xác thời điểm và nội dung thay đổi. Tệp tải xuống từ Drive không có tính năng này, khiến việc đối chiếu mã nguồn với bản phát hành chính thức trở nên khó khăn.

• Không có dấu vết cập nhật: Người dùng không thể dễ dàng theo dõi các bản vá hoặc thay đổi nhỏ. Trong khi đó, với Git, mọi sự thay đổi đều được ghi lại rõ ràng.

• Rủi ro về bảo mật chuỗi cung ứng: Khi mã nguồn được lưu trữ trên một dịch vụ chia sẻ tệp thông thường, khả năng bị can thiệp hoặc thay thế tệp tăng lên, dù Google Drive có kiểm soát truy cập. Việc này đi ngược lại nguyên tắc Supply Chain Security — một vấn đề được ngành công nghệ đặc biệt chú trọng sau các vụ tấn công nổi tiếng như SolarWinds và Codecov.

"Đây là một bước thụt lùi đáng lo ngại. Chúng tôi khuyến khích mọi tổ chức phát hành mã nguồn nên duy trì quy trình Git chuẩn để đảm bảo tính toàn vẹn và khả năng kiểm toán." — Trích thông báo từ tài khoản chính thức của GrapheneOS.

Ảnh hưởng đến cộng đồng nguồn mở tại Việt Nam

Đối với cộng đồng lập trình viên Việt Nam, nơi mà việc theo dõi và học hỏi từ mã nguồn của Google (ví dụ như AOSP - Android Open Source Project) là rất phổ biến, sự thay đổi này tạo ra rào cản không nhỏ:

• Các bạn sinh viên, kỹ sư phần mềm thường dựa vào nhánh Git để kiểm tra lịch sử phát triển của một tính năng nào đó. Khi chuyển sang Drive, hành vi này gần như không thể thực hiện.
• Các dự án phần mềm Việt Nam sử dụng nhân (kernel) hoặc thư viện từ Google cũng sẽ gặp khó khăn khi muốn đồng bộ phiên bản.
• Việc kiểm tra an ninh mã nguồn trở nên bất khả thi nếu không có dữ liệu hash hoặc chữ ký số đi kèm.

Phản ứng từ cộng đồng quốc tế

Trên diễn đàn Hacker News, nhiều ý kiến bày tỏ sự thất vọng. Một số người cho rằng Google đang cố tình làm giảm tính mở của mã nguồn, trong khi số khác nhận định có thể Google đang tối ưu quy trình nội bộ nhưng bỏ qua trải nghiệm của nhà phát triển bên ngoài.

Một điểm mấu chốt được nhiều chuyên gia chỉ ra: Việc thiếu thẻ Git đồng nghĩa với việc mất đi khả năng tái lập (reproducibility). Trong phát triển phần mềm hiện đại, khả năng tái lập giúp đảm bảo rằng mã nguồn bạn đang xem thực sự là mã nguồn đã được kiểm tra và phát hành, không phải một bản sửa đổi nào đó.

Kết luận

Vụ việc này một lần nữa gióng lên hồi chuông về tính minh bạch của các tập đoàn công nghệ lớn đối với cộng đồng nguồn mở. Dù Google có lý do kỹ thuật hay quy trình nội bộ nào đi chăng nữa, việc từ bỏ chuẩn mực Git để chuyển sang các dịch vụ lưu trữ tệp thông thường là một tín hiệu không tốt cho những ai đang dựa vào các dự án mã nguồn mở của họ.

Liên hệ với chúng tôi nếu bạn muốn chia sẻ góc nhìn của mình về vấn đề này. Lehuy.net sẽ tiếp tục cập nhật diễn biến mới nhất.