needhelp
← ブログに戻る

ムスク、Xは「セキュリティレビュー完了後」コードベース全体をオープンソース化すると発言

著者 needhelp
オープンソース
X
セキュリティ
透明性

イーロン・ムスクは7月15日、Xがすべてのコードベースを「例外なし」でオープンソース化すると述べた。ただし、それはセキュリティレビューが完了してからだという。

Once we have completed our review for security vulnerabilities, we will make the entire codebase of 𝕏 open source, with no exceptions. Moreover, we will invite third party reviewers to examine the system that is running to confirm that the open source code is what is running. Trust through total transparency is the only thing that should be believed.

該当の投稿はこちら: x.com/elonmusk/status/2077361679034118271。本稿執筆時点で、閲覧数は446万、返信は4,877件を数える。

「コードベース全体」が意味するもの

これはXがこれまでにやってきたことの一歩先を行く。2023年3月、Xは twitter/the-algorithm —— タイムラインを並べ替える推奨アルゴリズム —— を公開した。だがあれはシステムの一部を切り出したスライスであり、全体ではない。しかも大幅に編集（黒塗り）されていた。

今回のムスクの言い回しは違う。「𝕏のコードベース全体、例外なし」だ。これを文字通り受け取るなら、バックエンドのサービス、クライアントアプリ、インフラのコード、そして有料 tier を動かしているものすべてが含まれる。「例外なし」という一文があるからこそ、単なるPRショーと本物のコード公開が分かれる。

実際に面白いのはここだ

興味深いのは二文目だ。第三者のレビュアーを招いて、稼働中のシステムが公開されたソースと一致することを確認させるというのは、大半の企業が口にしない「検証可能性」の主張である。コードをオープンソースにすることはともかく、本番のバイナリがそのコードと等しいことを証明するのは別の話だ。

これにはちゃんとした手法がある。再現可能ビルド（reproducible builds）だ。独立した第三者が公開ソースをコンパイルし、その出力をデプロイされているものと照合する。Xにその仕組みを支えるビルドパイプラインがあるのか、それとも場当たり的な監査をするだけなのかは不明だ。ムスクは言及していない。

注視すべき3点

  • 範囲。 「コードベース全体」対「アルゴリズム」。Xは2023年にすでにアルゴリズムをオープンソース化している（github.com/twitter/the-algorithm）。意味のあるものにするには、これははるかに踏み込まなければならない。
  • 日程。 「レビューが完了してから」には期限がない。セキュリティレビューは数ヶ月続くこともあれば、こっそり消え去ることもある。
  • 検証の手法。 「第三者のレビュアー」は曖昧だ。公開された手法を持つ名前のある監査機関なら信頼できる。名前のないものは信頼できない。

なぜ重要か

Xは主要なコミュニケーションプラットフォームだ。1日あたりの利用者は約2億4,000万人、政治家やジャーナリスト、市場の「公開の場」でもある。コードが完全に開かれ、独立して検証されているという主張が事実なら、この規模のプラットフォームとしては前例のないことだ。実行されれば、部外者がフィードに対するシステムの振る舞いをどこまで信頼できるかが変わる。

しかし、あれは投稿であってリリースではない。リポジトリもなければ、日程もなく、監査機関の名前も挙がっていない。それらが現れるまでは、単なる意向表明として扱うべきだ。

参考リンク

このページをシェア