- Python Software Foundation (PSF) đã rút đề xuất trị giá 1,5 triệu USD đã nộp lên Quỹ Khoa học Quốc gia Mỹ (NSF), vốn nhằm cải thiện các lỗ hổng bảo mật của Python và PyPI
- Đây là lần đầu PSF nộp đơn vào chương trình ‘SAFE Open Source Ecosystem’ (SAFE OSE) của NSF, nhưng điều kiện chấp nhận trợ cấp có điều khoản hạn chế các hoạt động DEI (đa dạng, công bằng và hòa nhập) đã trở thành vấn đề
- Điều khoản này áp dụng cho toàn bộ hoạt động của PSF, và nếu vi phạm có thể dẫn tới việc thu hồi (claw back) số tiền đã giải ngân, tạo ra rủi ro tài chính lớn
- PSF, theo sứ mệnh xác định DEI là giá trị cốt lõi, đã từ chối chấp nhận các điều kiện này và đưa ra quyết định rút lui với sự nhất trí tuyệt đối của hội đồng quản trị
- Quyết định này gây áp lực lên tài chính của PSF, nhưng được đánh giá là lựa chọn để bảo vệ các giá trị và nguyên tắc cộng đồng
Bối cảnh và mục tiêu của đề xuất
- Vào tháng 1 năm 2025, PSF đã nộp đề xuất cho chương trình SAFE OSE của NSF với mục tiêu giải quyết các lỗ hổng bảo mật mang tính cấu trúc của Python và PyPI
- Đây là trường hợp đầu tiên PSF xin trợ cấp từ chính phủ, và là quá trình một đội ngũ nhỏ vừa thực hiện vừa học cách xử lý các thủ tục hành chính phức tạp
- Việc soạn đề xuất do Seth Larson (nhà phát triển bảo mật) dẫn dắt, với Loren Crary (phó giám đốc điều hành) tham gia với vai trò đồng phụ trách
- PSF cho rằng đề xuất này phù hợp với mục tiêu của chương trình và nếu được chấp nhận sẽ mang lại lợi ích lớn cho cộng đồng, nên đã đầu tư đáng kể về thời gian và công sức
Đề xuất được chấp thuận và vấn đề phát sinh
- Sau nhiều tháng thẩm định, đề xuất đã nhận được trạng thái recommended for funding và đây là trường hợp hiếm khi chỉ 36% ứng viên mới thành công ngay ở lần nộp đầu tiên
- Tuy nhiên, vấn đề phát sinh ở các điều kiện chấp nhận trợ cấp
- Trong điều kiện có câu: “không vận hành các chương trình thúc đẩy DEI (đa dạng, công bằng và hòa nhập) hoặc hệ tư tưởng bình đẳng mang tính phân biệt đối xử”
- Điều khoản này không chỉ áp dụng cho dự án bảo mật được tài trợ mà còn áp dụng với toàn bộ hoạt động của PSF
- Nếu vi phạm, NSF có thể thu hồi (claw back) các khoản đã giải ngân, dẫn đến rủi ro tài chính không giới hạn
Giá trị và sứ mệnh của PSF
- PSF xác định DEI là giá trị cốt lõi, và nêu rõ điều này trong tuyên bố sứ mệnh chính thức
- Sứ mệnh của PSF được xác định là “thúc đẩy và bảo vệ ngôn ngữ Python, đồng thời hỗ trợ sự phát triển của một cộng đồng đa dạng và mang tính quốc tế”
- PSF đã cố gắng làm rõ cách diễn giải các điều kiện thông qua trao đổi với NSF, đồng thời xem xét các trường hợp như The Carpentries cũng từng gặp tình huống tương tự, nhưng cuối cùng kết luận rằng họ không thể chấp nhận các điều kiện xung đột với giá trị của mình
- Kết quả là PSF giữ vững lập trường không dừng các hoạt động DEI và rút lại đề xuất trợ cấp
Nội dung kỹ thuật của dự án được đề xuất
- Dự án được đề xuất nhằm phát triển công cụ kiểm duyệt tự động trước khi phát hành để ngăn chặn các cuộc tấn công chuỗi cung ứng trên PyPI
- Hiện tại PyPI chỉ vận hành cơ chế rà soát sau khi phát hành, nhưng hệ thống được đề xuất sẽ phân tích trước mọi gói được tải lên
- Hệ thống được thiết kế để phát hiện sớm các mối đe dọa tiềm ẩn bằng cách sử dụng phân tích năng lực (capability analysis) dựa trên bộ dữ liệu mã độc
- Công nghệ này không chỉ áp dụng cho PyPI mà còn có thể áp dụng cho các kho đăng ký gói nguồn mở khác như NPM, Crates.io, qua đó có tiềm năng tăng cường bảo mật cho toàn bộ hệ sinh thái nguồn mở
Tác động tài chính và các thách thức phía trước
- PSF vận hành với ngân sách khoảng 5 triệu USD mỗi năm và là một tổ chức nhỏ với 14 nhân viên
- Khoản 1,5 triệu USD trong 2 năm lẽ ra sẽ là khoản trợ cấp lớn nhất trong lịch sử PSF
- Tuy nhiên, PSF đã ưu tiên thực hành giá trị và hỗ trợ cộng đồng một cách tự do hơn lợi ích tài chính
- Hội đồng quản trị đã nhất trí thông qua quyết định rút lui
- Việc rút lui này khiến PSF đang phải chịu áp lực tài chính trong bối cảnh lạm phát, tài trợ sụt giảm, ngành công nghệ chững lại và bất ổn toàn cầu
- PSF kêu gọi các thành viên, nhà tài trợ và doanh nghiệp tài trợ tiếp tục hỗ trợ và tăng cường tham gia
- Cá nhân có thể hỗ trợ sứ mệnh và hoạt động của PSF thông qua đăng ký thành viên, quyên góp và tham gia tài trợ
Kết luận
- PSF đã chọn bảo vệ giá trị tổ chức và nguyên tắc cộng đồng thay vì chấp nhận tổn thất tài chính
- Trường hợp này được xem là tiền lệ quan trọng cho thấy điều kiện trợ cấp của chính phủ có thể ảnh hưởng thế nào đến tính tự chủ và giá trị của các tổ chức nguồn mở
- PSF dự kiến sẽ tiếp tục hoạt động theo hướng vừa tăng cường bảo mật cho hệ sinh thái Python vừa thúc đẩy sự đa dạng trong thời gian tới
1 bình luận
Ý kiến Hacker News
Nhiều bình luận cho rằng “DEI làm tổn hại chế độ trọng dụng nhân tài”, nhưng thực ra họ đang hiểu sai cách hoạt động của các hoạt động DEI
Theo tweet mà phụ trách đa dạng của PyCon năm 2016 chia sẻ, tỷ lệ diễn giả nữ đã tăng từ 1% lên 40%
Điều này là nhờ có hoạt động tiếp cận chủ động để đa dạng hóa chính tập ứng viên, dù quy trình xét duyệt được tiến hành theo hình thức ẩn danh
Thế giới không vận hành chỉ bằng năng lực thuần túy. “Cảm giác thuộc về” hay “cảm giác được mời gọi” có ảnh hưởng rất lớn đến kết quả
PSF có thể từ bỏ kiểu tiếp cận này và giữ nguyên hiện trạng, nhưng tôi mong cộng đồng sẽ phát triển theo hướng đa dạng và bao trùm hơn
Nhưng ngoài thực tế, các chính sách DEI chạy theo chỉ số kiểu như “quý này chỉ được tuyển ứng viên đa dạng” cũng bị lạm dụng
Có trích dẫn tài liệu tòa án cho thấy những trường hợp như vậy thực sự tồn tại
Các hệ thống quan trọng rốt cuộc vẫn được vận hành bằng năng lực
Không có lời biện hộ logic nào có thể thay đổi sự thật đó
Tôi cho rằng DEI về bản chất là một dạng phân biệt đối xử
Tôi từng thực sự bị tước mất cơ hội giáo dục vì giới tính của mình, và điều đó tuyệt đối không thể được biện minh
Tôi cũng hoài nghi trước tuyên bố rằng các nhóm đa dạng lúc nào cũng tạo ra kết quả tốt hơn
Khi học trung học, tôi từng điều hành một đội robotics và làm outreach trong cộng đồng địa phương với mục tiêu công bằng trong giáo dục STEM
Nhưng dưới chính sách DEI của chính quyền hiện tại, những hoạt động như vậy có thể đối mặt với rủi ro bị kiện tụng
Thật đáng buồn khi chính phủ tùy tiện quyết định “ai mới là phe đúng”
Cách tiếp cận nhị nguyên như vậy chỉ càng gây phản ứng ngược và chia rẽ
Cần có các chương trình hỗ trợ tập trung vào nhu cầu và khát vọng phát triển của từng cá nhân, thay vì giới tính hay chủng tộc
Một trường đại học ở Thụy Điển đã đạt được mục tiêu bình đẳng giới trong lĩnh vực kỹ thuật, và giờ đang cố cải thiện mất cân bằng trong sinh học và hóa học
Tôi hy vọng những thay đổi như vậy sẽ dẫn đến dũng khí đạo đức thực sự
Tôi tự hỏi vì sao không có hỗ trợ cho những người không thể học lập trình vì điều kiện kinh tế
Xét về mặt pháp lý, điều khoản lần này có vẻ không cấm bản thân DEI, mà chỉ cấm các hoạt động DEI vi phạm luật liên bang
Nhưng trên thực tế, chính phủ đã từng có tiền lệ gây sức ép hoặc tìm cách thu hồi vốn với các tổ chức liên quan đến DEI ngay cả khi không có vi phạm pháp luật, nên khó mà tin tưởng được
Dấu câu được dùng sai, nên có thể diễn giải rằng chính phủ đang cố tình cấm toàn bộ DEI
Trên thực tế, chính quyền hiện tại coi bản thân DEI là bất hợp pháp
Nếu đã chi 1,5 triệu USD vào nghiên cứu rồi sau đó bị yêu cầu hoàn trả, tổ chức sẽ rơi vào khủng hoảng tài chính
Cuối cùng điều khoản này có nguy cơ biến khoản hỗ trợ thành một món nợ chứ không phải tài trợ
Cụm từ “discriminatory equity ideology” có vẻ là một từ ngữ mới nhằm che đậy sự mâu thuẫn đó
Tôi cho rằng việc PSF từ chối điều kiện này là một quyết định biến niềm tin thành hành động
Hy vọng nhân cơ hội này các tập đoàn lớn như Google, AWS, Microsoft có thể hỗ trợ bằng matching fund
Họ đã xóa bỏ các chương trình DEI để duy trì quan hệ với chính quyền rồi
Rốt cuộc lý do họ phải nhìn sắc mặt chính quyền là quá rõ ràng
Dù sao sau này khả năng cao vẫn sẽ có thu hồi vốn
Thật tiếc khi mấy tháng công sức viết đề xuất cho NSF đã đổ sông đổ biển
Vụ việc lần này là tín hiệu cảnh báo không chỉ với PSF mà còn với toàn bộ nghiên cứu khoa học
Tài trợ nghiên cứu kèm điều kiện chính trị về lâu dài sẽ gây hại cho tất cả mọi người
Những tổ chức như PSF không thể gánh kiểu rủi ro chính trị vô thời hạn này
Việc nguồn tài trợ nghiên cứu ở Mỹ bị chính trị hóa là một vấn đề nghiêm trọng
Hồ sơ xin tài trợ của DOE cũng từng có yêu cầu DEI, và tôi hy vọng mọi sự can thiệp chính trị kiểu này đều sẽ giảm đi
Các nhà nghiên cứu phải sửa đề xuất bằng những từ như ‘khác biệt’ thay cho ‘giới tính’
Hầu hết chỉ phản ứng theo kiểu “chỉnh cho đúng hình thức rồi vẫn làm nghiên cứu như cũ”
Vì chính phủ cũng không có đủ nhân lực để giám sát từng trường hợp
Hội đồng quản trị PSF cho biết họ đã từ chối khoản tài trợ vì rủi ro bị thu hồi vốn
Tôi gửi sự tôn trọng và ủng hộ đến hội đồng đã đưa ra quyết định này
1,5 triệu USD là quá nhỏ so với giá trị mà PyPI mang lại cho ngành tài chính
Chỉ cần các doanh nghiệp lớn đóng góp một chút cũng sẽ giúp ích rất nhiều
Tôi tò mò xem mọi việc sẽ diễn biến ra sao
Quy mô hỗ trợ thực tế rất nhỏ, và thường chỉ được phân cho các dự án giúp đánh dấu vào checklist DEI
Nếu không có lợi ích kinh tế, các công ty không quan tâm đến hỗ trợ vì lợi ích công
Trong một cấu trúc nơi lợi nhuận được đặt cao hơn đạo đức, kết quả như vậy là điều dễ hiểu
Cách diễn giải pháp lý của câu “sẽ không thúc đẩy DEI hay hệ tư tưởng bình đẳng mang tính phân biệt đối xử theo cách vi phạm luật liên bang” là mơ hồ
Trên thực tế không rõ phần nào trong câu mới là đối tượng được gắn với cụm “vi phạm”
Nhưng vì EO 14151 quy định bản thân DEI là bất hợp pháp nên ý đồ chính sách còn quan trọng hơn ngữ pháp
Nếu chính quyền muốn, bất kỳ điều khoản nào cũng có thể bị vũ khí hóa vì mục đích chính trị
Nếu PSF nhận tiền, có lẽ an toàn hơn nếu họ phải dâng một nửa số đó cho Trump
Một tình huống mâu thuẫn khi chính phủ nói rằng họ bảo vệ tự do ngôn luận nhưng lại siết chặt kiểm duyệt
Nhìn vào câu chữ của điều khoản, điểm gây tranh cãi là liệu “vi phạm luật liên bang” có áp dụng cho toàn bộ mệnh đề hay không
Nếu đúng như vậy thì miễn DEI tự thân không trái luật, có thể sẽ không có vấn đề
Nhưng trên thực tế rủi ro pháp lý là quá lớn nên khó có thể chấp nhận
Nếu có vi phạm luật liên bang hoặc tham gia tẩy chay bị cấm (đặc biệt liên quan đến Israel) thì có thể bị thu hồi toàn bộ
Nếu PSF ra quyết định mà không có tư vấn pháp lý thì thật đáng tiếc
Vì thế, câu này được hiểu là yêu cầu phải đồng ý với cách diễn giải rằng DEI là hành vi vi phạm pháp luật
Blog của PSF có mô tả chi tiết về dự án mà khoản tài trợ bị từ chối ban đầu dự định dùng cho việc gì
Nếu muốn trực tiếp tài trợ cho việc tăng cường bảo mật của hệ sinh thái Python, bạn có thể tham khảo trang quyên góp hoặc đơn đăng ký tài trợ