- Python Software Foundation (PSF) ถอนข้อเสนอมูลค่า 1.5 ล้านดอลลาร์ที่ยื่นต่อ National Science Foundation (NSF) ของสหรัฐฯ โดยมีเป้าหมายเพื่อ ปรับปรุงช่องโหว่ด้านความปลอดภัยของ Python และ PyPI
- แม้จะสมัครเข้าร่วม โครงการ ‘Safe and Secure Open Source Ecosystem (SAFE OSE)’ ของ NSF เป็นครั้งแรก แต่เกิดปัญหากับ ข้อกำหนดที่จำกัดกิจกรรม DEI (ความหลากหลาย ความเท่าเทียม และการมีส่วนร่วม) ซึ่งเป็นเงื่อนไขในการรับเงินอุดหนุน
- ข้อกำหนดดังกล่าวมีผลกับกิจกรรมทั้งหมดของ PSF และหากฝ่าฝืนยังอาจรวมถึงความเป็นไปได้ที่เงินที่จ่ายไปแล้วจะถูก เรียกคืน (claw back) ทำให้เกิด ความเสี่ยงทางการเงิน สูง
- PSF ยึดตามพันธกิจที่ระบุว่า DEI เป็นคุณค่าหลัก จึงปฏิเสธการยอมรับเงื่อนไขดังกล่าว และ คณะกรรมการมีมติเป็นเอกฉันท์ให้ถอนข้อเสนอ
- การตัดสินใจครั้งนี้สร้างภาระด้านการเงินให้กับ PSF แต่ถูกมองว่าเป็น การเลือกยืนหยัดในคุณค่าและหลักการของชุมชน
ที่มาและเป้าหมายของการยื่นข้อเสนอ
- ในเดือนมกราคม 2025 PSF ได้ยื่นข้อเสนอต่อ โครงการ SAFE OSE ของ NSF โดยมีเป้าหมายเพื่อแก้ไข ช่องโหว่เชิงโครงสร้างด้านความปลอดภัย ของ Python และ PyPI
- นี่เป็น กรณีแรกที่ PSF สมัครขอรับเงินอุดหนุนจากภาครัฐ โดยทีมขนาดเล็กต้องเรียนรู้และดำเนินการผ่านกระบวนการด้านเอกสารและการบริหารที่ซับซ้อน
- การเขียนข้อเสนอมี Seth Larson (นักพัฒนาด้านความปลอดภัย) เป็นผู้นำ และ Loren Crary (รองผู้อำนวยการบริหาร) เข้าร่วมเป็นผู้รับผิดชอบร่วม
- PSF เห็นว่าข้อเสนอนี้สอดคล้องกับวัตถุประสงค์ของโครงการ และหากได้รับคัดเลือกจะสร้าง ประโยชน์อย่างมากต่อชุมชน จึงทุ่มเทเวลาและความพยายามอย่างมาก
การอนุมัติข้อเสนอและปัญหาที่เกิดขึ้น
- หลังผ่านการพิจารณาหลายเดือน ข้อเสนอดังกล่าวได้รับสถานะ แนะนำให้สนับสนุนงบประมาณ (recommended for funding) ซึ่งเป็นกรณีที่พบได้ไม่บ่อย เพราะในบรรดาผู้สมัครรายใหม่มีเพียง 36% เท่านั้นที่สำเร็จตั้งแต่การยื่นครั้งแรก
- อย่างไรก็ตาม ปัญหาเกิดขึ้นในเงื่อนไขการรับเงินอุดหนุน
- ในเงื่อนไขมีข้อความว่า “จะไม่ดำเนินโครงการที่ส่งเสริม DEI (ความหลากหลาย ความเท่าเทียม และการมีส่วนร่วม) หรืออุดมการณ์ความเสมอภาคเชิงเลือกปฏิบัติ”
- ข้อกำหนดนี้ไม่ได้ใช้เฉพาะกับ โครงการความปลอดภัยที่ทำด้วยเงินอุดหนุน เท่านั้น แต่ครอบคลุม กิจกรรมทั้งหมดของ PSF
- หากฝ่าฝืน NSF สามารถ เรียกคืน (claw back) เงินที่จ่ายไปแล้วได้ ทำให้เกิด ความเสี่ยงทางการเงินแบบไม่จำกัด
คุณค่าและพันธกิจของ PSF
- PSF ระบุชัดว่า DEI เป็นคุณค่าหลัก และประกาศเรื่องนี้ไว้อย่างชัดเจนใน mission statement อย่างเป็นทางการ
- พันธกิจของ PSF ถูกกำหนดว่าเป็น “การส่งเสริมและปกป้องภาษา Python และ สนับสนุนการเติบโตของชุมชนที่หลากหลายและเป็นสากล”
- PSF พยายามหารือกับ NSF เพื่อทำความชัดเจนในการตีความเงื่อนไข และทบทวนกรณีขององค์กรอย่าง The Carpentries ที่เผชิญสถานการณ์คล้ายกัน แต่สุดท้ายสรุปว่า ไม่สามารถยอมรับเงื่อนไขที่ขัดกับคุณค่าขององค์กรได้
- ผลลัพธ์คือ PSF ยืนยันจุดยืนว่า จะไม่ยุติกิจกรรม DEI และจึง ถอนข้อเสนอขอรับเงินอุดหนุน
เนื้อหาทางเทคนิคของโครงการที่เสนอ
- โครงการที่เสนอมุ่งพัฒนา เครื่องมือคัดกรองล่วงหน้าแบบอัตโนมัติ เพื่อ ป้องกันการโจมตีห่วงโซ่อุปทานใน PyPI
- ปัจจุบัน PyPI ใช้เพียง ระบบตรวจสอบย้อนหลัง แต่ระบบที่เสนอจะมีโครงสร้างแบบ วิเคราะห์แพ็กเกจที่อัปโหลดทั้งหมดล่วงหน้า
- ระบบนี้ถูกออกแบบให้ใช้ การวิเคราะห์ความสามารถ (capability analysis) บนพื้นฐานชุดข้อมูลมัลแวร์ เพื่อตรวจจับภัยคุกคามที่อาจเกิดขึ้นได้ตั้งแต่ระยะเริ่มต้น
- เทคโนโลยีนี้สามารถนำไปใช้ได้ไม่เพียงกับ PyPI แต่ยังรวมถึง รีจิสทรีแพ็กเกจโอเพนซอร์สอื่น ๆ เช่น NPM และ Crates.io จึงมีศักยภาพในการช่วย ยกระดับความปลอดภัยของระบบนิเวศโอเพนซอร์สโดยรวม
ผลกระทบทางการเงินและความท้าทายในอนาคต
- PSF ดำเนินงานด้วยงบประมาณราว 5 ล้านดอลลาร์ต่อปี และเป็นองค์กรขนาดเล็กที่มี พนักงาน 14 คน
- เงิน 1.5 ล้านดอลลาร์ตลอด 2 ปีนี้เดิมทีจะเป็น เงินอุดหนุนก้อนใหญ่ที่สุดในประวัติศาสตร์ของ PSF
- อย่างไรก็ตาม PSF ให้ความสำคัญกับ การยึดมั่นในคุณค่าและการสนับสนุนชุมชนอย่างเสรี มากกว่าผลประโยชน์ทางการเงิน
- คณะกรรมการได้ อนุมัติการถอนข้อเสนออย่างเป็นเอกฉันท์
- จากการถอนครั้งนี้ PSF กำลังเผชิญ แรงกดดันทางการเงิน ท่ามกลาง เงินเฟ้อ การสนับสนุนที่ลดลง ภาวะชะลอตัวของอุตสาหกรรมเทคโนโลยี และความไม่แน่นอนระดับโลก
- PSF ขอให้สมาชิก ผู้บริจาค และผู้สนับสนุนองค์กร ช่วยสนับสนุนและมีส่วนร่วมอย่างต่อเนื่อง
- บุคคลทั่วไปสามารถสนับสนุนพันธกิจและกิจกรรมของ PSF ได้ผ่าน การสมัครสมาชิก, การบริจาค และ การเข้าร่วมเป็นสปอนเซอร์
บทสรุป
- PSF เลือก ปกป้องคุณค่าขององค์กรและหลักการของชุมชนเหนือกว่าความสูญเสียทางการเงิน
- กรณีนี้ถูกมองว่าเป็นแบบอย่างสำคัญที่สะท้อนว่า เงื่อนไขของเงินอุดหนุนจากภาครัฐสามารถส่งผลต่อความเป็นอิสระและคุณค่าขององค์กรโอเพนซอร์สได้อย่างไร
- ต่อจากนี้ PSF มีแผนจะเดินหน้ากิจกรรมโดยควบคู่ทั้ง การยกระดับความปลอดภัยของระบบนิเวศ Python และการส่งเสริมความหลากหลาย
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
หลายความเห็นอ้างว่า “DEI ทำลายระบบคุณธรรม” แต่จริง ๆ แล้วเข้าใจ วิธีที่กิจกรรม DEI ทำงาน ผิดไป
ตามทวีตที่ผู้ดูแลด้านความหลากหลายของ PyCon ปี 2016 แชร์ไว้ สัดส่วนวิทยากรผู้หญิงเพิ่มจาก 1% เป็น 40%
นี่เกิดขึ้นเพราะแม้กระบวนการคัดเลือกจะเป็นแบบ blind review ก็ยังมี การ outreach เชิงรุกเพื่อทำให้กลุ่มผู้สมัครหลากหลายขึ้นตั้งแต่ต้นทาง
โลกไม่ได้ขับเคลื่อนด้วยความสามารถล้วน ๆ เท่านั้น ความรู้สึกว่า “เป็นส่วนหนึ่ง” หรือ “ได้รับการเชื้อเชิญ” ส่งผลต่อผลลัพธ์อย่างมาก
PSF อาจเลือกเลิกทำ outreach แบบนี้แล้วคงสภาพเดิมไว้ก็ได้ แต่ฉันอยากเห็นมันพัฒนาไปเป็น ชุมชนที่หลากหลายและครอบคลุมยิ่งขึ้น
แต่ในโลกความเป็นจริง นโยบาย DEI แบบ ยึดตัวชี้วัดเป็นศูนย์กลาง ก็ถูกใช้เกินขอบเขตเหมือนกัน เช่น “ไตรมาสนี้รับได้เฉพาะผู้สมัครที่หลากหลาย”
มีการอ้างถึงเอกสารศาลเพื่อแสดงว่ามีกรณีแบบนี้เกิดขึ้นจริง
ระบบที่สำคัญ สุดท้ายก็ต้องดำเนินด้วยความสามารถ
ไม่มีคำแก้ตัวเชิงตรรกะใดเปลี่ยนข้อเท็จจริงนี้ได้
มองว่า DEI โดยเนื้อแท้แล้วเป็นการเลือกปฏิบัติรูปแบบหนึ่ง
ฉันเคยถูกตัดโอกาสทางการศึกษาเพราะเรื่องเพศจริง ๆ และสิ่งนี้ไม่มีทางทำให้ชอบธรรมได้
อีกทั้งยังสงสัยด้วยว่ากลุ่มที่หลากหลายจะให้ผลลัพธ์ที่ดีกว่าเสมอไปจริงหรือไม่
ตอนมัธยมปลายฉันเคยบริหารทีมหุ่นยนต์และทำ outreach กับชุมชนโดยมีเป้าหมายเรื่อง ความเท่าเทียมใน STEM education
แต่ภายใต้นโยบาย DEI ของรัฐบาลชุดปัจจุบัน กิจกรรมแบบนี้อาจเสี่ยง ถูกฟ้องร้อง ได้
น่าเสียดายที่รัฐบาลกำลังกำหนดเองตามอำเภอใจว่า “ใครอยู่ฝ่ายที่ถูก”
วิธีคิดแบบ แบ่งโลกเป็นสองขั้ว แบบนี้กลับยิ่งก่อให้เกิดแรงต้านและความแตกแยก
เราต้องการโครงการสนับสนุนที่โฟกัสที่ ความต้องการและความอยากเติบโตของแต่ละบุคคล ไม่ใช่เพศหรือเชื้อชาติ
มหาวิทยาลัยแห่งหนึ่งในสวีเดนบรรลุเป้าหมายความเท่าเทียมทางเพศในสาขาเทคโนโลยีแล้ว และตอนนี้กำลังพยายามแก้ความไม่สมดุลในสาขาชีววิทยาและเคมี
หวังว่าการเปลี่ยนแปลงแบบนี้จะนำไปสู่ ความกล้าหาญทางศีลธรรม ที่แท้จริง
จึงสงสัยว่าทำไมไม่มีการสนับสนุนสำหรับคนที่ไม่ได้เรียนเขียนโค้ดเพราะข้อจำกัดทางเศรษฐกิจบ้าง
ในทางกฎหมาย ดูเหมือนว่าข้อกำหนดครั้งนี้ไม่ได้ห้าม DEI โดยตรง แต่ห้ามเฉพาะ กิจกรรม DEI ที่เข้าข่ายละเมิดกฎหมายกลางสหรัฐฯ
แต่ในทางปฏิบัติ รัฐบาลเคยมีประวัติพยายาม กดดันองค์กรที่เกี่ยวกับ DEI หรือดึงเงินทุนกลับคืน แม้ในกรณีที่ไม่ได้ผิดกฎหมาย จึงยากจะไว้วางใจ
การใช้เครื่องหมายวรรคตอนไม่ถูกต้อง ทำให้ตีความได้ว่ารัฐบาลจงใจจะ แบน DEI ทั้งหมด
ในความเป็นจริง รัฐบาลชุดปัจจุบันมองว่า DEI เองก็ผิดกฎหมาย
ถ้าใช้เงิน 1.5 ล้านดอลลาร์ไปกับงานวิจัยแล้วภายหลังถูกสั่งให้คืน จะเจอกับ หายนะทางการเงิน
สุดท้ายข้อกำหนดนี้จึงเสี่ยงทำให้เงินสนับสนุนกลายเป็น หนี้สิน มากกว่าจะเป็นทุน
วลี “discriminatory equity ideology” ดูเหมือนเป็นคำประดิษฐ์เพื่อกลบความขัดแย้งในตัวมันเอง
ฉันคิดว่า PSF ที่ปฏิเสธเงื่อนไขแบบนี้คือการ ลงมือทำตามความเชื่อ
อยากให้โอกาสนี้กลายเป็นจุดเริ่มต้นให้บริษัทใหญ่ ๆ อย่าง Google, AWS และ Microsoft เข้ามาช่วยด้วย matching fund
พวกเขาเลิกโครงการ DEI ไปแล้วเพื่อรักษาความสัมพันธ์กับรัฐบาล
ดังนั้นเหตุผลที่พวกเขาต้องคอยดูท่าทีรัฐบาลจึงชัดเจน
ยังไงภายหลังก็มีโอกาสสูงที่จะถูกเรียกเงินคืน
น่าเสียดายที่ความพยายามหลายเดือนในการ เขียนข้อเสนอ NSF ต้องสูญเปล่า
เหตุการณ์นี้ไม่ใช่สัญญาณอันตรายแค่สำหรับ PSF แต่สำหรับ งานวิจัยวิทยาศาสตร์โดยรวม
การให้ทุนวิจัยที่มีเงื่อนไขทางการเมืองแนบมาด้วยย่อมส่งผลเสียต่อทุกฝ่ายในระยะยาว
องค์กรอย่าง PSF ไม่อาจแบกรับ ความเสี่ยงทางการเมืองแบบไม่มีกำหนด เช่นนี้ได้
การที่เงินทุนวิจัยในสหรัฐฯ ถูกทำให้เป็นเรื่องการเมืองคือ ปัญหาร้ายแรง
แม้แต่ใบสมัครทุน DOE ก็มีข้อกำหนดด้าน DEI และหวังว่าการแทรกแซงทางการเมืองแบบนี้จะลดลงทั้งหมด
นักวิจัยต้องแก้ข้อเสนอโดยใช้คำอย่าง ‘ความแตกต่าง’ แทน ‘เพศ’
ส่วนใหญ่รับมือด้วยวิธี “เขียนให้ผ่านตามรูปแบบ แล้วทำวิจัยจริงเหมือนเดิม”
เพราะรัฐบาลเองก็ไม่มีคนมากพอจะมาตรวจทุกกรณี
คณะกรรมการ PSF ระบุว่าปฏิเสธทุนครั้งนี้เพราะ ความเสี่ยงจากการถูกเรียกเงินคืน
ขอส่ง ความเคารพและการสนับสนุน ไปยังคณะกรรมการที่ตัดสินใจเช่นนี้
เงิน 1.5 ล้านดอลลาร์ถือว่า น้อยมาก เมื่อเทียบกับคุณค่าที่ PyPI มอบให้กับภาคการเงิน
ถ้าบริษัทใหญ่ช่วยสมทบเพียงเล็กน้อยก็จะเป็นประโยชน์มาก
อยากติดตามว่าต่อจากนี้จะเป็นอย่างไร
ขนาดการสนับสนุนจริงมีน้อยมาก และบ่อยครั้งก็แจกจ่ายให้เฉพาะโครงการที่ช่วยติ๊ก เช็กลิสต์ DEI
ถ้าไม่มีผลประโยชน์ทางเศรษฐกิจ บริษัทก็ ไม่ค่อยสนใจการสนับสนุนเพื่อสาธารณะประโยชน์
ในโครงสร้างที่กำไรสำคัญกว่าจริยธรรม ผลลัพธ์แบบนี้ก็ไม่ใช่เรื่องน่าแปลกใจ
ถ้อยคำที่ว่า “จะไม่ผลักดัน DEI หรืออุดมการณ์ความเสมอภาคเชิงเลือกปฏิบัติในลักษณะที่ละเมิดกฎหมายกลาง” นั้น คลุมเครือในเชิงกฎหมาย
ในทางปฏิบัติไม่ชัดว่าคำว่า “ละเมิด” ไปขยายส่วนไหนกันแน่
แต่เพราะ EO 14151 ระบุว่า DEI เองผิดกฎหมายอยู่แล้ว เจตนาทางนโยบายจึงสำคัญกว่าไวยากรณ์
ถ้ารัฐบาลต้องการ ก็สามารถ ทำให้ข้อกำหนดใด ๆ กลายเป็นอาวุธทางการเมือง ได้
ถ้า PSF รับเงินนี้ไป อาจต้องถวายครึ่งหนึ่งให้ Trump ถึงจะปลอดภัยก็ได้
รัฐบาลอ้างว่าปกป้องเสรีภาพในการแสดงออก แต่กลับ เพิ่มการเซ็นเซอร์ เสียเองอย่างย้อนแย้ง
จากถ้อยคำของข้อกำหนด ประเด็นสำคัญคือ “ละเมิดกฎหมายกลาง” ใช้ครอบทั้งประโยคหรือไม่
ถ้าใช่ และถ้า DEI เองไม่ผิดกฎหมาย ก็อาจไม่มีปัญหา
แต่ในความเป็นจริง ความเสี่ยงทางกฎหมาย สูงเกินกว่าจะยอมรับได้
หากมีการละเมิดกฎหมายกลางหรือ การคว่ำบาตรที่ต้องห้าม (โดยเฉพาะที่เกี่ยวกับอิสราเอล) ก็สามารถเรียกคืนเต็มจำนวนได้
ถ้า PSF ตัดสินใจโดยไม่มีคำปรึกษาทางกฎหมายก็น่าเสียดาย
เพราะฉะนั้นจึงอ่านได้ว่านี่หมายถึงการให้ยอมรับ การตีความที่มองว่า DEI เป็นการละเมิดกฎหมาย
รายละเอียดว่าทุนที่ถูกปฏิเสธนี้เดิมทีตั้งใจจะใช้กับ โครงการอะไร มีอธิบายไว้ในบล็อกของ PSF
หากต้องการสนับสนุน การเสริมความปลอดภัยให้ระบบนิเวศ Python โดยตรง สามารถดูได้ที่หน้าบริจาคหรือสมัครเป็นสปอนเซอร์