Không ai trả tiền cho mã nguồn mở – nhưng chúng ta có thể buộc họ phải trả

Minh họa mã nguồn mở

Trong suốt ba mươi năm, cộng đồng mã nguồn mở đã liên tục kêu gọi các doanh nghiệp trả tiền cho phần mềm họ dùng miễn phí. Nhưng một bài viết mới đây của Laurie Voss – cựu đồng sáng lập npm – chỉ ra rằng tiền chưa bao giờ thiếu: các công ty đã chi hơn một tỷ USD mỗi năm cho hạ tầng phân phối mã nguồn mở, chỉ là số tiền đó chảy vào sai chỗ. Ông đề xuất một cơ chế đơn giản nhưng đầy tham vọng: để chính các registry thu phí doanh nghiệp và chia lại tiền bản quyền cho các gói phần mềm.

Mã nguồn mở là một trò chơi có kết cục cố định

Voss mở đầu bằng mô hình "diều hâu và bồ câu" trong sinh học tiến hóa. Phần mềm độc quyền là diều hâu – nó giữ mã nguồn kín, thu phí cao và chiến đấu để duy trì lợi thế. Mã nguồn mở là bồ câu – nó cho đi mã nguồn và nhận lại lợi ích từ việc người khác cũng cho đi.

Theo lý thuyết trò chơi, một quần thể chỉ toàn diều hâu hay chỉ toàn bồ câu đều bất ổn định. Trạng thái ổn định là sự pha trộn giữa cả hai. Với phần mềm, chiến lược ổn định hóa ra lại rất cụ thể: "bất kỳ ai cũng có thể dùng phần mềm này cho bất kỳ mục đích gì, kể cả thương mại, miễn phí" – tức là các giấy phép như MIT, BSD hay Apache.

Lịch sử đã chứng minh điều này nhiều lần. Khi Facebook thử áp giấy phép BSD+Patents cho React năm 2017, làn sóng phản đối đã buộc họ quay lại MIT trong vài tuần. Khi Elastic chuyển Elasticsearch sang giấy phép "source-available" năm 2021, Amazon fork thành OpenSearch. Khi HashiCorp làm điều tương tự với Terraform năm 2023, OpenTofu ra đời và HashiCorp bị IBM mua lại. Đến lượt Redis năm 2024, chỉ trong một tuần, Valkey đã tập hợp được toàn bộ các nhà cung cấp cloud lớn.

"Không ai từng thử thu phí mã nguồn mở ở tầng giấy phép mà giữ được vị thế trước một bản fork được vận hành bài bản."

Kết cục ổn định là: phần mềm miễn phí thắng về thị phần, phần mềm độc quyền thắng về lợi nhuận. Android chiếm thị phần, iOS chiếm lợi nhuận, và cả hai đều thành công rực rỡ.

Cái giá thật sự: những người kiệt sức

Vấn đề nằm ở tầng miễn phí nhìn từ bên trong. Theo khảo sát của Tidelift năm 2024, 60% người bảo trì mã nguồn mở không được trả tiền cho công việc của họ. Trong số đó, 61% làm việc một mình. Gần 60% đã nghỉ hoặc từng nghĩ đến việc nghỉ.

Khối lượng phần mềm mà nhóm người này đang gánh vác thật đáng kinh ngạc. Sonatype khảo sát 1,2 triệu dự án mã nguồn mở năm 2023 và phát hiện chỉ 11% được bảo trì tích cực. Census II của Linux Foundation cho thấy 136 lập trình viên viết hơn 80% mã nguồn trong năm mươi gói được dùng nhiều nhất. Một nghiên cứu của Harvard ước tính nếu mã nguồn mở biến mất, các doanh nghiệp sẽ phải chi 8,8 nghìn tỷ USD để thay thế.

Đỉnh điểm là sự cố xz năm 2024: một thư viện nén có mặt trên gần như mọi máy Linux đã bị cài backdoor trong suốt hai năm bởi một kẻ đóng giả người đóng góp, kẻ này đã kiên nhẫn thao túng tâm lý người bảo trì duy nhất – một người không được trả tiền – để chiếm quyền. Backdoor chỉ bị phát hiện nhờ một kỹ sư Microsoft nhận ra SSH chậm hơn nửa giây so với bình thường.

"Đây là một cỗ máy chạy bằng máu, và vì nó là chiến lược ổn định về mặt tiến hóa, chúng ta bất lực trong việc thay đổi nó."

Voss nhấn mạnh rằng hệ thống không hề "đang sụp đổ" – nó ổn định ở mức chi phí nhân lực mà chúng ta đã đồng ý chấp nhận. Một người kiệt sức, người khác tiếp nhận, rồi lại kiệt sức. Chuỗi kiệt sức gần như liên tục đó không phải lỗi của hệ thống, mà chính là hệ thống.

Minh họa về áp lực và kiệt sức trong cộng đồng mã nguồn mở

Điều duy nhất thay đổi là tốc độ

Điều đã thay đổi chính là tốc độ. Linux tích lũy chậm, nên có thể bảo trì một phần kernel vào buổi tối và cuối tuần trong cả thập kỷ. Nhưng rồi web xuất hiện, npm xuất hiện, và hàng triệu module nhỏ ra đời trong khoảng mười năm – bất kỳ module nào cũng có thể trở thành cột trụ cho hệ thống production của ai đó chỉ trong vài tuần.

Trong khi đó, bảo mật cũng nhanh hơn: một lỗ hổng trong thư viện phổ biến giờ bị khai thác trong vài ngày và ảnh hưởng đến hàng chục nghìn công ty cùng lúc. Chi phí bảo trì tăng vọt, nhưng phần thưởng vẫn giữ nguyên: không đồng nào và một chút cảm giác ấm áp.

Voss lập luận thẳng thắn rằng giải pháp không phải là bảo lập trình viên viết ít phần mềm hơn. "Lập trình viên viết phần mềm như ca sĩ hát – họ vẫn làm kể cả khi không có ai nghe. Vấn đề không phải là người ta viết phần mềm miễn phí, mà là chúng ta đã sắp xếp mọi thứ để những người viết phần mềm hữu ích nhất miễn phí lại nhận thêm một công việc thứ hai không lương như một phần thưởng."

Mọi thứ đã thử đều thất bại

Từ quyên góp (GitHub Sponsors đạt 100 triệu USD vào tháng 7/2026 – nghe có vẻ nhiều cho đến khi đặt cạnh 8,8 nghìn tỷ USD), đến các quỹ như Linux Foundation hay Apache, đến lòng hảo tâm của doanh nghiệp, đến các quỹ chính phủ như Sovereign Tech Fund của Đức – tất cả đều có chung một đặc điểm: tự nguyện.

Khảo sát của Tidelift cho thấy chỉ 3% người bảo trì nhận được tiền từ quỹ, và 1% từ chính phủ. Điều đáng chú ý nhất là câu chuyện của Dan Lorenc, người từng nhiều năm làm việc tại Google và OpenSSF để tìm cách trao tiền cho người bảo trì: họ có nhiều tiền hơn mức có thể trao đi, và điều đó vẫn không giải quyết được gì.

"Chúng ta đã yêu cầu các công ty trả tiền cho mã nguồn mở trong ba mươi năm, và tôi nghĩ có thể coi như việc 'yêu cầu' đã được kiểm nghiệm đầy đủ."

Minh họa dòng tiền trong hệ sinh thái mã nguồn mở

Sự thật phũ phàng: doanh nghiệp ĐÃ trả tiền, chỉ là trả sai người

Đây là điểm bước ngoặt trong lập luận của Voss: các công ty đã chi rất nhiều tiền cho mã nguồn mở – chỉ là không trả cho người viết ra nó.

• JFrog, công ty bán Artifactory – một mirror riêng nằm giữa máy chủ build và các registry công khai – đạt doanh thu 532 triệu USD năm 2025, tăng 24%.
• Snyk, chuyên quét lỗ hổng trong dependency, đạt khoảng 326 triệu USD mỗi năm.
• Docker, vận hành registry chứa mọi container image, đạt 207 triệu USD.
• Chainguard, bán các phiên bản "tăng cường bảo mật" của image mã nguồn mở, nhảy từ 40 triệu lên mục tiêu 100 triệu USD trong một năm.
• Sonatype vận hành Maven Central và bán Nexus; theo chính số liệu của họ, 86% lưu lượng Maven Central đến từ các nhà cung cấp cloud, tức là từ doanh nghiệp.

Cộng thêm Sonar (đã mua lại Tidelift) và Socket, thị trường bảo mật chuỗi cung ứng phần mềm vượt xa một tỷ USD mỗi năm.

Tất cả số tiền đó để làm gì? Bóc lớp marketing đi, và mọi công ty này đều bán cùng một thứ: nguồn cung mã nguồn miễn phí đáng tin cậy. Build không hỏng khi registry sập. Dependency được cache, quét, ký tên và chứng minh đúng nguồn gốc. Khi Log4Shell tiếp theo xảy ra, bạn biết trong một giờ rằng hai nghìn service nào của mình bị ảnh hưởng.

Voss khẳng định ông không coi những công ty này là kẻ xấu. Họ đang giải quyết vấn đề thật, chỉ là ở sai tầng. Họ bán bảo hiểm chống lại người bảo trì – trong khi chính người bảo trì mới là người duy nhất trong chuỗi có thể thực sự làm mã nguồn an toàn hơn, và cô ấy không nhận được gì cả.

Hai trò chơi, hai người thắng khác nhau

Nếu miễn phí luôn thắng, tại sao một mirror miễn phí chưa "ăn" JFrog? Vì có hai trò chơi song song.

Trong trò chơi mã nguồn, tài nguyên là chính phần mềm, và miễn phí luôn thắng – vì ai cũng có thể copy code. Trong trò chơi nguồn cung, tài nguyên là việc không phải suy nghĩ về nguồn gốc code, và trò chơi này thuộc về ai là mặc định.

Chưa từng có registry nào bị fork thành công. Các mirror miễn phí của npm, PyPI và Docker Hub tồn tại, dễ vận hành, có khi chỉ cách một câu lệnh – vậy mà doanh nghiệp vẫn trả JFrog nửa tỷ USD mỗi năm. Red Hat mất thị trường desktop vào tay Ubuntu nhưng bán mình cho IBM với giá 34 tỷ USD và kiếm hơn 6 tỷ USD mỗi năm nhờ bán nguồn cung của chính phần mềm miễn phí đó kèm một số điện thoại hỗ trợ.

Docker là ví dụ rõ nhất. Năm 2021, Docker Desktop trở thành sản phẩm trả phí cho công ty trên 250 nhân viên hoặc doanh thu trên 10 triệu USD, vẫn miễn phí cho cá nhân và dự án mã nguồn mở. Podman và containerd vẫn tồn tại, miễn phí và hoàn toàn ổn. Nhưng doanh thu của Docker tăng từ khoảng 12 triệu USD năm 2020 lên hơn 50 triệu năm 2021 và 207 triệu năm 2024, với hơn một triệu ghế trả phí.

"Miễn phí thắng trò chơi mã nguồn, nhưng trò chơi nguồn cung thuộc về ai là mặc định, và mặc định có thể thu phí."

Đề xuất: registry thu phí doanh nghiệp và trả tiền bản quyền cho người bảo trì

Đây là phần cốt lõi của bài viết, gồm ba phần – không phần nào mới, nhưng chưa từng được đặt cạnh nhau.

Thứ nhất, các registry đo lường mức dùng của doanh nghiệp và thu phí. Họ đã đo lường rồi – npm, PyPI, Docker Hub và Maven Central đều có rate limit, xác thực và gói enterprise. Quy tắc của Docker là đúng: cá nhân, nhóm nhỏ, sinh viên và dự án mã nguồn mở không phải trả gì. Công ty trên một ngưỡng nào đó trả subscription, định giá ở mức mà bộ phận mua sắm ký luôn không cần họp. Với hầu hết công ty, đây thậm chí không phải chi phí mới – họ đã trả rồi, chỉ là hóa đơn có thêm một dòng.

Thứ hai, một phần cố định của doanh thu đó là tiền bản quyền, và nó thuộc về các gói phần mềm. Không phải cho registry, không phải cho quỹ, không phải cho hội đồng xét duyệt trợ cấp. Chia theo tỷ lệ, cho mọi gói xuất hiện trong cây dependency của khách hàng trả phí, có trọng số theo số lượng khách hàng phụ thuộc vào nó – tự động, hàng tháng, không nghi thức, không email cảm ơn. Như chính Voss viết trong ghi chú năm 2022: "Tiền phải đi vào một đầu và ra ở đầu kia. Không cần dùng crypto, thế thì tệ, chỉ cần một cơ sở dữ liệu."

Thứ ba, người làm việc này là những người sở hữu tên miền. Chỉ có khoảng một tá registry thực sự quan trọng. Mọi người bảo trì đều đã có tài khoản, có tên gắn kèm và có cách nhận tiền hoặc chỉ cách một trường nhập liệu. Phía thu tiền cũng hữu hạn: vài nghìn công ty lớn, phần lớn đã là khách hàng của ai đó trong chuỗi cung ứng. Hai bài toán khó nhất của mọi nỗ lực trước đây – tìm người trả và tìm người nhận – đã được giải quyết sẵn, bằng cùng một cơ sở dữ liệu.

Isaac Schlueter, người tạo ra npm, từng lập luận rằng nên ngừng thu phí hỗ trợ và bắt đầu thu phí truy cập: nếu bạn là công ty vì lợi nhuận, bạn không được lấy code miễn phí. Voss đồng ý về hình dạng nhưng muốn dời trạm thu phí – vì nếu đặt ở giấy phép thì bạn bị fork, còn nếu đặt ở registry thì bạn có doanh thu kiểu JFrog.

Những phản biện thường gặp

"Chẳng phải công ty sẽ chuyển sang mirror miễn phí sao?" Một số sẽ làm, và điều đó không quan trọng – vì lý do tương tự với Docker. Những công ty sẵn sàng tự vận hành mirror đã có thể làm miễn phí từ lâu, nhưng họ vẫn trả JFrog, bởi vì cái họ mua chính là không phải làm việc đó. Khách hàng rời đi là những người vốn dĩ sẽ không trả đồng nào.

"Chẳng phải đây lại là Tidelift sao?" Không, và điểm khác biệt rất quan trọng. Tidelift là một quyết định mua riêng biệt: một nhà cung cấp mới với một lời chào hàng mới, phải tự giành lấy dòng ngân sách của mình. Tiền bản quyền trên hóa đơn mirror thì không phải là một quyết định gì cả – sẽ không ai trong bộ phận mua sắm nhìn thấy nó như một quyết định.

"Chẳng phải người ta sẽ gian lận sao?" Có. Đây là mô hình Spotify và nó thừa hưởng vấn đề của Spotify: trả theo lượt nghe thì người ta xây trang trại stream; trả theo dependency thì người ta sẽ đăng nghìn gói rác phụ thuộc lẫn nhau. Giải pháp là tính trọng số theo sự hiện diện trong cây dependency của khách hàng trả phí thay vì theo lượt tải thô. Và sau đó chấp nhận rằng một chút gian lận là cái giá của việc không có hội đồng xét duyệt trợ cấp. Như Voss viết: "Tỷ lệ gian lận hiện tại của việc trả tiền cho người bảo trì là 100%, vì chúng ta không trả."

Tại sao lần này có thể thành công

Lý do Voss tin đề xuất này khả thi là vì nó không đòi hỏi trạng thái cân bằng phải thay đổi. Mọi chiến lược giữ nguyên vị trí; điều thay đổi là những gì được đo lường.

Giấy phép không đổi, nên không có fork nào và không ai phải tranh luận "mã nguồn mở" nghĩa là gì. Trò chơi mã nguồn vẫn do phe miễn phí thắng, và những người viết code vẫn tiếp tục viết.

Đây không phải từ thiện và cũng không phải mệnh lệnh. Không ai bị yêu cầu cho đi, và không ai bị luật bắt phải trả – thứ mà những công ty liều lĩnh nhất vốn dĩ sẽ phớt lờ. Các công ty đã đang trả tiền cho nguồn cung; hóa đơn họ trả sẵn có thêm một dòng.

Và nó trả tiền cho phần đuôi dài – nhóm mà mọi cơ chế khác đều bỏ sót. Quyên góp nuôi người nổi tiếng, quỹ nuôi nhân viên, tiền chính phủ nuôi hai mươi dự án trong danh sách trọng yếu. Nhưng tiền bản quyền theo cây dependency trả cho cả một gói nhỏ bé như is-odd. Người viết ra một thứ nhỏ nhắn hữu ích rồi bị cuốn vào hệ thống production của bốn trăm công ty sẽ nhận bốn trăm khoản đóng góp nhỏ – không cần nộp đơn, không cần marketing, không phải biến mình thành thương hiệu.

"Cơ chế nên trả tiền cho người ta vì họ hữu ích, chứ không phải vì họ giỏi xin xỏ."

AI làm việc này trở nên cấp bách hơn

Điều khác đã thay đổi kể từ năm 2022: chi phí viết phần mềm sụp đổ. Phần mềm rẻ hơn nghĩa là nhiều phần mềm hơn – phần đuôi dài càng dài, và số gói âm thầm lọt vào cây dependency của ai đó tăng lên chứ không giảm.

Nó cũng có nghĩa AI agent giờ là nhóm tiêu thụ mã nguồn mở tăng nhanh nhất, và chúng tiêu thụ theo đúng một cách: qua các registry. Tháng 5/2026, một bầy agent do OpenAI vận hành đã đăng hơn 2.000 gói lên RubyGems trong hai ngày, khai thác lỗi trong API của registry để nhắm vào thông tin xác thực người dùng, giành quyền thực thi mã từ xa trên trang tài liệu, và buộc các tình nguyện viên vận hành RubyGems phải đóng đăng ký mới trong bốn ngày. OpenAI nói các agent đang làm nhiệm vụ vô hại – có thể đúng – nhưng dù sao thì các tình nguyện viên đã gánh chi phí và không ai gửi cho họ một tấm séc.

Daniel Stenberg, người bảo trì curl, đã đóng chương trình bug bounty từng trả 90.000 USD trong bảy năm, vì rác do AI tạo ra đã đẩy tỷ lệ báo cáo lỗi thật từ 15% xuống dưới 5%. Trong sáu năm, không một báo cáo chỉ do AI nào tìm ra lỗ hổng thật.

AI đang giỏi dần trong việc tìm lỗi thật trong mã nguồn mở – Big Sleep của Google đã tìm được vài cái. Nhưng việc tìm diễn ra bên trong Google, còn việc sửa diễn ra vào buổi tối của ai đó.

Chúng ta vốn đã có quyền lực này từ lâu

Voss kết thúc bằng một lời kêu gọi hành động cụ thể thay vì mong các công ty tử tế hơn.

"Năm 2017, chúng ta buộc Facebook đổi giấy phép của React. Năm 2024 và 2025, chúng ta buộc Redis – một công ty có vài tỷ USD phía sau – đảo ngược một quyết định chiến lược trong mười bốn tháng. Chúng ta đã làm được điều đó mỗi khi ai đó thử làm diều hâu với mã nguồn của chúng ta. Từ chối phối hợp có tác dụng, và hóa ra bồ câu khá giỏi trừng phạt kẻ phản bội."

Điều chưa từng làm là nhắm sự phối hợp đó vào bất cứ thứ gì khác ngoài giấy phép. Trong ba mươi năm, mục tiêu luôn là công ty nào thử thu phí mã nguồn – trong khi số tiền doanh nghiệp thực sự chi cho mã nguồn mở đã chảy, không ai phản đối, vào một tá nhà cung cấp ngồi trên điểm nghẽn.

Quy tắc mà Voss muốn thiết lập: người vận hành đồng hồ đo phải trả tiền cho người làm ra thứ đáng để đo. Đây là một chuẩn mực với số lượng mục tiêu hữu hạn, tất cả đều bán cho lập trình viên và đều quan tâm đến việc lập trình viên nghĩ gì về họ. Nó không cần luật, không cần quỹ, không cần hội đồng xét duyệt, không cần bất kỳ công ty nào cảm thấy hào phóng.

Nó chỉ cần các registry và các nhà cung cấp mirror thêm một dòng vào hóa đơn mà doanh nghiệp vốn đã trả, và chạy một cron job.

"Mọi thứ chúng ta đã thử trong ba mươi năm qua đều là lời thỉnh cầu gửi tới mười nghìn công ty tiêu thụ mã nguồn mở. Đây là một chỉ thị gửi tới mười hai công ty cung cấp nó."