Những người âm thầm gánh vác cả Internet bằng vài dòng code

Có một bức tranh nổi tiếng của xkcd mô tả toàn bộ hạ tầng kỹ thuật số hiện đại như một tòa tháp khổng lồ, được chống đỡ bởi đúng một khối gạch nhỏ mang dòng chữ: "một dự án nào đó mà một người vô danh ở Nebraska đã âm thầm duy trì từ năm 2003". Người ta thường đăng lại bức tranh này mỗi khi có thứ gì đó sập.

Minh họa về hạ tầng số phụ thuộc vào một dự án nhỏ

Câu hỏi đặt ra là: thực tế nó đúng đến mức nào?

Đếm người từ chính lịch sử mã nguồn

Một phân tích dữ liệu đã tải xuống toàn bộ lịch sử công khai của 23 phần mềm mà điện thoại, trình duyệt và máy chủ phụ thuộc vào, rồi đếm tất cả những ai đã thực hiện từ 10 thay đổi trở lên trong giai đoạn từ tháng 10/2025 đến tháng 10/2026. Nhóm tác giả cũng liệt kê những gì thực sự được cài đặt trên một chiếc Android, một chiếc iPhone và một máy Windows.

Kết quả: phần lớn các dự án chỉ có một hoặc hai người đảm nhiệm công việc thường xuyên.

Paul Eggert và tệp múi giờ của cả thế giới

Paul Eggert giảng dạy khoa học máy tính tại UCLA và là điều phối viên chính thức của tệp dữ liệu múi giờ (tz database) từ năm 2012. Cả điện thoại Android lẫn iPhone đều dùng tệp này.

Paul Eggert

Ngày 29/9, ông phát hành phiên bản 2026e. Dòng đầu tiên trong ghi chú cho biết Manitoba chuyển sang múi giờ -05 vĩnh viễn từ ngày 31/10, đồng nghĩa điện thoại ở Winnipeg sẽ không lùi đồng hồ vào ngày 1/11. Trong tổng số 251 thay đổi của tệp trong năm qua, 218 do ông thực hiện và 28 do Tim Parenti.

Năm 2011, một công ty phần mềm chiêm tinh kiện Paul và Arthur Olson — người khởi tạo tệp năm 1986 tại Viện Y tế Quốc gia Hoa Kỳ — với cáo buộc rằng một phần dữ liệu lịch sử lấy từ một tập bản đồ mà công ty sở hữu. Danh sách thư và trang tải xuống của dự án bị đóng cho đến khi IANA tiếp quản. Quỹ Electronic Frontier Foundation bào chữa miễn phí, và công ty rút đơn vào tháng 2/2012.

"Trong trường hợp tôi không còn khả dụng vì nghỉ hưu hoặc vì bất cứ lý do gì."

Lasse Collin và vụ xz backdoor

Lasse Collin sống ở Phần Lan và duy trì xz, công cụ nén có mặt trên gần như mọi máy chủ Linux và bên trong mọi chiếc iPhone.

Ông từng viết rằng khả năng chăm sóc dự án của mình đã "khá hạn chế, chủ yếu do các vấn đề sức khỏe tâm thần dài hạn". Trong nhiều tháng, các tài khoản tự xưng là Jigar Kumar và Dennis Ens liên tục đăng lên danh sách thư phàn nàn về tiến độ chậm chạp, còn một người đóng góp tên Jia Tan thì liên tục gửi các bản sửa hữu ích.

Lasse trao cho Jia Tan nhiều quyền truy cập hơn. Năm 2023, Jia Tan thực hiện 304 thay đổi vào xz, còn Lasse làm 172. Tháng 2/2024, các phiên bản do Jia Tan phát hành mang theo một cửa hậu ẩn vào máy chủ Linux. Andres Freund, kỹ sư tại Microsoft, phát hiện ngày 29/3 vì các phiên đăng nhập của anh dùng nhiều thời gian xử lý hơn mức bình thường — trước khi phần lớn hệ thống Linux kịp phát hành bản đó. Đến nay vẫn chưa ai xác định được Jia Tan là ai.

Denis Pushkarev và core-js

Core-js giúp các đoạn JavaScript mới chạy được trên trình duyệt cũ. Theo thống kê của chính tác giả, nó hoạt động trên khoảng một nửa trong số 1.000 website đông truy cập nhất thế giới.

Năm 2019, Denis Pushkarev làm core-js toàn thời gian không lương, sống ở Nga vì chi phí rẻ hơn. Theo lời kể của anh, ba tuần sau một bản phát hành lớn, anh đang lái xe về nhà lúc 3 giờ sáng thì hai người phụ nữ trẻ trên con đường tối bị cuốn vào gầm xe, một người tử vong. Gia đình nạn nhân yêu cầu khoảng 80.000 USD, còn công tố viên đề nghị mức án bảy năm.

Anh từng thêm một thông điệp hiện ra trên terminal mỗi khi có người cài core-js, cầu xin được giúp đỡ hoặc tìm việc làm. Hàng triệu lập trình viên đã nhìn thấy nó, và nhiều người phàn nàn. Anh vào tù tháng 1/2020 và được thả sớm sau khoảng mười tháng.

Todd Miller và sudo

Todd Miller duy trì sudo — lệnh cấp quyền quản trị trên Mac hoặc máy chủ Linux — từ đầu thập niên 1990. Sudo được viết lần đầu khoảng năm 1980 tại SUNY Buffalo, và Todd trông coi nó lâu hơn cả thời gian Linux tồn tại.

"Tôi hiện đang tìm một nhà tài trợ để tài trợ cho việc duy trì và phát triển sudo liên tục."

Sau khi trang The Register đưa tin về ghi chú này vào tháng 2, ngân sách Open Collective của dự án đạt khoảng 61.700 USD/năm với 30 nhà tài trợ trên GitHub — biến sudo thành dự án một người được tài trợ tốt nhất trong danh sách khảo sát.

Những cái tên ít được biết đến

D. Richard Hipp viết SQLite năm 2000 sau khi làm phần mềm cho một tàu khu trục của Hải quân Hoa Kỳ, nơi cơ sở dữ liệu liên tục hỏng mỗi khi một máy chủ riêng biệt gặp sự cố. SQLite hiện có mặt trong mọi điện thoại Android, mọi iPhone, mọi máy Mac, mọi bản Windows 10 và 11 cùng mọi trình duyệt lớn. Khi bạn mở WhatsApp, các cuộc trò chuyện được tải từ một cơ sở dữ liệu SQLite. Ước tính của dự án là hơn một nghìn tỷ cơ sở dữ liệu SQLite đang được sử dụng. Trong năm qua chỉ có bốn người thay đổi SQLite.

Mark Adler viết zlib cùng Jean-loup Gailly năm 1995; ở công việc khác, ông từng điều hành robot tự hành Spirit của NASA trên đường tới Sao Hỏa. Zlib nén nhỏ tệp tin và có mặt trong ảnh PNG, trang web, Git, Android, iPhone và Chrome. Debian ghi nhận nó trên 291.615 máy báo cáo về hệ thống — gần như tất cả. Năm qua chỉ hai người làm phần lớn công việc, và Mark không có trang tài trợ nào.

Mark Adler

Chet Ramey duy trì bash từ khoảng năm 1990, song song với công việc tại nhóm mạng của Đại học Case Western Reserve ở Ohio. Tháng 9/2014, Stéphane Chazelas báo cáo một lỗi trong bash cho Chet. Bất kỳ ai cũng có thể lợi dụng nó để chạy lệnh trên máy chủ bằng cách gửi một đoạn văn bản được tạo hình đặc biệt. Ngày 24/9, lỗi này được công bố với tên Shellshock, ảnh hưởng hàng trăm triệu máy. Dòng lệnh đứng sau nó đã được đưa vào bash từ ngày 5/8/1989.

Behdad Esfahbod viết lại HarfBuzz, thư viện quyết định cách các chữ cái nối và đặt vị trí cho Android, Chrome, Firefox, Edge, Kindle và Figma. Với tiếng Anh thì công việc khá đơn giản, nhưng ở tiếng Hindi, tiếng Ả Rập, tiếng Tamil và phần lớn hệ chữ viết trên thế giới, các chữ cái thay đổi hình dạng tùy theo chữ bên cạnh. Năm nay ông viết 85% số thay đổi.

Behdad Esfahbod

Daniel Stenberg khởi tạo curl ở Thụy Điển năm 1996. Công cụ này truyền dữ liệu cho điện thoại, ô tô, TV và Windows — hệ điều hành đã tích hợp nó từ năm 2018. Năm nay có 11 người làm việc thường xuyên trên curl, trong đó Viktor Szakats thay đổi nhiều nhất. Daniel làm toàn thời gian vì các công ty trả tiền hỗ trợ: dự án thu khoảng 89.700 USD/năm qua Open Collective, và quỹ công của Đức cho mã nguồn mở đã chi 195.000 euro cho công việc này.

Daniel Stenberg

libxml2 và bài học về người duy trì

libxml2 đọc định dạng XML — nền tảng của rất nhiều tài liệu, nguồn cấp dữ liệu và tệp cấu hình — và có mặt trên Android, iPhone và Chrome, tức khoảng 5,6 tỷ thiết bị. Ngày 15/9/2025, người duy trì Nick Wellnhofer thông báo trên diễn đàn GNOME rằng ông từ chức, "nghĩa là dự án này hiện gần như không có người duy trì". Ngày 9/12, hai tình nguyện viên là Daniel Garcia Moreno và Iván Chavero tiếp nhận, với lời nhắn: "Rất hoan nghênh các đóng góp!"

Tiền chảy về đâu?

OpenSSL đặt ổ khóa cho phần lớn web. Tháng 4/2014, lỗi Heartbleed cho phép bất kỳ ai đọc mật khẩu và khóa riêng từ bộ nhớ của khoảng 17% máy chủ bảo mật đáng tin cậy, theo Netcraft. Tuần đó, chủ tịch quỹ OpenSSL, Steve Marquess, viết rằng quỹ nhận được khoảng 2.000 USD/năm tiền quyên góp, và nói với NPR rằng chỉ có một người làm toàn thời gian.

Trong vòng hai tháng, Linux Foundation huy động được 5,4 triệu USD từ các công ty công nghệ, OpenSSL có hai lập trình viên được trả lương và một cuộc kiểm toán. Năm 2013 dự án có sáu người làm thường xuyên; năm 2014 là mười bốn.

Cơ quan Chủ quyền Công nghệ của Đức đã tài trợ khoảng 90 dự án mã nguồn mở từ năm 2022, còn quỹ Alpha-Omega phân phối gần 6 triệu USD trong năm qua, phần lớn cho các kỹ sư bảo mật tại những tổ chức như quỹ Python và Ruby. Cả hai đều cấp tiền cho các tổ chức có thể nộp đơn và báo cáo — điều mà một cá nhân duy trì dự án đơn độc thường không làm được.

Trên GitHub Sponsors, Daniel Stenberg có 64 nhà tài trợ, nhưng Paul Eggert, Lasse Collin, DRC và Mark Adler đều không có trang tài trợ nào.

Điều đáng lo ngại

Câu chuyện về xz không phải là trường hợp cá biệt mà là lời cảnh báo. Khi một dự án quan trọng bị đẩy vào tay một người kiệt sức, không được trả lương và không có ai kiểm tra chéo, kẻ xấu chỉ cần kiên nhẫn vài năm là có thể cài cắm cửa hậu vào hạ tầng của cả thế giới.

"Cũng nên nhớ rằng đây là một dự án sở thích không được trả tiền."

Với người dùng Việt Nam, câu chuyện này ảnh hưởng trực tiếp: mọi chiếc smartphone, mọi máy chủ đám mây và mọi website nội địa đều đang chạy trên những thư viện do vài cá nhân như vậy duy trì. Khi doanh nghiệp phụ thuộc vào mã nguồn mở, việc đóng góp tài chính hoặc nhân lực trở lại cho các dự án đó không còn là việc tử tế — đó là quản trị rủi ro.