LFが欧州OSSと低品質AI生成PRを指す「AIスロップ」問題の2つのレポートを公開、OSERAは100日で本格稼働、ほか

「主権」の次は「参加」
ーLFが「2026年 欧州オープンソースの現状」レポートを公開

Linux Foundation(以下、LF)は2026年10月7日、チェコ・プラハで開催された「Open Source Summit Europe」において、LF Europe、LF Research、NeoNephosとの共同によるレポート「2026 State of Open Source in Europe」(2026年 欧州オープンソースの現状)を公開しました。今年で5回目となる年次レポートで、欧州の組織におけるオープンソースの活用状況、ガバナンス、そしてデジタル主権への取り組みを分析しています。なお、同イベントはLinux誕生35周年を記念する節目の開催でもありました。

【参照】2026 State of Open Source Europe
https://www.linuxfoundation.org/research/world-of-open-source-eu-2026

6月号では同じく欧州を対象とした「2026 State of Tech Talent Europe」を取り上げ、欧州の組織の54%がAI戦略の柱としてオープンソースを位置づけていることを紹介しました。今回のレポートは、その背景にある「デジタル主権」という動機と、それを実現するうえでの課題をより直接的に掘り下げたものです。

94%がデジタル主権を重視、ガバナンスの有無でROIに差

レポートによると、欧州の組織の94%がデジタル主権を自社の技術戦略にとって重要だと回答しており、そのうち61%は「非常に重要」としています。主な動機はセキュリティとプライバシーです。

注目すべきは、オープンソースのガバナンス成熟度とリターンの関係です。高度なオープンソースガバナンスを持つ組織は投資に対して平均4倍超のリターンを得ている一方、正式なガバナンスを持たない組織では3.6倍に留まります。それにもかかわらず、欧州の組織の31%はいまだに正式なオープンソースガバナンスの枠組みを持っておらず、広範な利用と戦略的な管理の間にギャップが残っています。

プライベートフォークの「維持税」と規制対応への投資

レポートは、プライベートフォークのコストにも光を当てています。48%の組織がオープンソースプロジェクトのプライベートフォークを維持しており、フォークを維持する組織はリリースサイクルごとに平均9.5個のフォークのパッチ適用に311時間を費やしています。さらに28%は、そのコストをまったく追跡できていません。

規制面では、63%の組織が規制圧力を受けてオープンソースの依存関係管理への投資を増やしています。7月号で取り上げたCRAの準備状況レポートでは認知度の低さが課題とされていましたが、少なくとも欧州の組織では依存関係管理への投資という具体的な行動が始まっていることがうかがえます。

生成AIがオープンソースの価値を押し上げる

AIとの関係では、94%の組織が生成AIコーディングツールを利用または試験導入しており、76%がそうしたツールによってオープンソースから得られる価値が高まったと回答しています。48%は生成AIの影響でオープンソースの利用自体を増やしました。一方で、AI導入の加速はメンテナーへの負荷増大という新たな課題も生んでいます。

人材面では、76%がオープンソースへの関与がエンジニアのスキル向上につながると回答し、53%が採用と定着に役立つとしています。また、欧州の開発者はKubernetesやOpenStackといった基盤インフラプロジェクトへの貢献の4割近くを占めています。

LF Europeのゼネラルマネージャーであるティエリー・カレ氏は、欧州はデジタル主権のメッセージを十分に受け止めており、次のステップは「参加」だと述べています。オープンソースを消費するだけでは技術を実効的にコントロールすることはできず、アップストリームへの貢献とオープンガバナンスへの参加によってこそ自律性が得られる、という主張です。LFのリサーチ担当シニアバイスプレジデントであるヒラリー・カーター氏も、2026年の「Tech Sovereignty Package」によって20億ユーロのデジタルインフラ投資が見込まれる中、その価値を実現するには強固なガバナンスとコミュニティへの積極的な貢献が欠かせないと指摘しています。

OSERAが約100日で本格稼働
ー修正標準を策定し、50超のプロジェクトにパッチを提供

7月号では、Akritesの「金融セクターにおける下流補完」として、FINOSが設立意向を表明したプレスリリース「Open Source Enterprise Resiliency Alliance(OSERA)」(OSERA本格稼働)を公開しました。そのOSERAが、10月7日のOpen Source Summit Europeにおいて本格稼働を発表しています。

【参照】Major Banks Back OSERA to Deliver Industry Wide Remediation Standards and Fixes to Secure Open Source Software
https://www.linuxfoundation.org/press/major-banks-back-osera-to-deliver-industry-wide-remediation-standards-and-fixes-to-secure-open-source-software

初期資金はDeutsche Bank、Goldman Sachs、Morgan Stanley、NatWest、Royal Bank of Canada(RBC)を含む6社のプレミアメンバーから提供されます。設立意向の表明から約100日で、OSERAは次の2つの成果を上げています。

「信頼できるパッチ」の条件を定めた修正標準

第1の成果は、脆弱性の修正と検証に関するオープン標準です。稼働開始から3週間以内に、パッチ適用と証明(アテステーション)の標準の初版を公開しました。金融機関、パッチ提供者、オープンソースインフラのリーダーの協働によって策定されたもので、修正パッチを大規模に信頼して利用する前に満たすべき要件を定めています。

Morgan StanleyのディスティングイッシュドエンジニアでOSERA修正標準ワーキンググループの議長を務めるDov Katz氏は、オープンで検証可能な修正標準こそが大規模な信頼をもたらすと述べています。業界がコミュニティや複数のパッチベンダーからオープンソースを取り込む状況では、パッチを使う前にそれが何を証明すべきかという基準を業界自身が定めることが、本番環境での実際のリスク低減に不可欠だという指摘です。

Spring/Javaエコシステムの50超のプロジェクトにパッチを提供

第2の成果は、優先度の高いプロジェクトへのパッチ提供です。SpringおよびJavaエコシステムで広く使われている50以上のオープンソースプロジェクトについて、公開済みの脆弱性(CVE)に対処した安全なパッケージ更新を、標準に沿った証明付きで提供しました。これらはOSERAメンバーが即座に本番環境で利用できます。Deutsche BankのPeter Thomas氏は、パイロットにおいて既存の開発パイプラインに手を加えることなく、通常の社内プロキシ経由で標準準拠のリリースを取り込めることが実証されたとしています。

OSERAが解決しようとしている課題を示す数字として、金融機関の5社に1社が同じプロジェクトのプライベート版を別々のチームで維持しているという調査結果が挙げられています。本号のメイントピックで紹介した欧州レポートの「プライベートフォークの維持コスト」と同じ問題が、金融業界では共同化によって解決されようとしています。

今後の目標として、OSERAは2026年末までに月80件以上のパッチを生産すること、11月にニューヨークで開催される「Open Source in Finance Forum」でOSERAプラットフォームの最初のエンドツーエンドのリリースを提供すること、プロジェクト単位のスポンサーシップモデルを整備すること、そしてAkritesとの連携を進めることを掲げています。FINOSのエグゼクティブディレクターであるGabriele Columbro氏は、Akritesのような上流の取り組みがコモンズを守り、OSERAは規制産業向けの下流として、署名付きで標準を満たした修正を本番環境に届けるという役割分担を明確にしています。

流入するPRの4分の1が「AIスロップ」
ーLF Researchが「生成AI時代のOSS開発」レポートを公開

LF Researchは2026年10月20日、「Navigating Open Source Software Development in the Generative AI Era: Challenges and Opportunities for Project Communities(生成AI時代のOSS開発：プロジェクトコミュニティにとっての課題と機会)」を公開しました。米ローリーで開催された「All Things Open」で発表されたもので、Red Hatがスポンサーとなり、Futurewei、OpenSSF、LF AI & Dataが協力しています。2026年4月〜6月に実施したWeb調査に基づき、分析対象は234名(誤差±6.41%、信頼度95%)です。

【参照】Navigating Open Source Software Development in the Generative AI Era
https://www.linuxfoundation.org/research/oss-development-gen-ai-era-2026

メイントピックの欧州レポートでは、生成AIがオープンソースの価値を高める一方でメンテナーの負荷を増やしていることが指摘されていました。本レポートは、その実態をコントリビューターとメンテナーの双方の視点から具体的な数字で示したものです。

コーディング時間は半減、ただし複雑なタスクでは効果が限定的

生成AIはOSS開発のほぼすべての段階で使われています。用途は新機能の開発(83%)、デバッグ・テスト(78%)、リファクタリング(71%)、ドキュメント作成(69%)が上位です(P.17 Figure 10)。使用頻度も高く、対話型チャットは76%、コード補完は65%、エージェント型フレームワークは53%の回答者が毎日またはほぼ毎日使っています(P.20 Figure 14)。

生産性への効果は明確です。回答者の見積もりでは、コード作成にかかる時間は平均4時間18分から2時間6分へと52%短縮され、コードレビューも2時間30分から1時間24分へと44%短縮されています(P.23 Figure 19)。一方で、複雑性の高いタスクでは21%が却って時間が増えたと回答しており、効果は一様ではありません(P.25 Figure 21)。生まれた時間の使い道は、技術的負債の解消(66%)、新機能の開発(63%)、学習・スキルアップ(58%)が上位でした(P.26 Figure 22)。

メンテナー側では「量」と「質」の問題が顕在化

メンテナー側から見ると、状況は大きく異なります。59%のメンテナーが生成AIの普及以降コントリビューションの量が増えたと回答しており、大規模プロジェクトでは69%に上ります(P11. Figure 3)。受け取るプルリクエストのうち平均25%が質の低い「AIスロップ」とみなされ、大規模プロジェクトでは31%に達します(P.10 Figure 2)。AI支援によるコントリビューションでレビュー時間が増えたという回答も、大規模プロジェクトでは64%を占めています(P.9 Figure 1)。

生成AIが参加の障壁を下げることには71%のメンテナーが同意する一方、コミュニティの信頼を高めたという見方には53%が同意していません(P.15 Figure 8)。新規コントリビューターへのメンタリングの必要性についても「増える」(46%)が「減る」(32%)を上回りました(P.16 Figure 9)。AIによって入口は広がったものの、その分だけ受け入れ側の負担が増えている構図です。

ガバナンスはまだ追いついていない

AIによるコントリビューションを正式に認めるポリシーを持つプロジェクトは35%にとどまり、32%はポリシーがなく策定の予定もありません(P.12 Figure 5)。ポリシーを持つプロジェクトの多くはレビューの責任をコントリビューター側に求め(76%)、AI利用の開示を義務づけています(76%)(P.13 Figure 6)。

コントリビューター側では61%がAI生成コードを提出前に1行ずつ確認し、機能テストまで実施しています(P.21 Figure 16)。一方で、AIの支援を常に、またはおおむね明示しているのは約半数にとどまり、19%はまったく明示していません(P.21 Figure 17)。

LFのリサーチ担当シニアバイスプレジデントであるヒラリー・カーター氏は、オープンソースプロジェクトはAIが生成するコントリビューションの増加に事後的に対処するのではなく、それを前提に設計する必要があると述べています。また、LFのAI & インフラストラクチャ担当ゼネラルマネージャーであるマーク・コリエ氏は、AIツールへの投資はメンテナー、メンタリング、信頼への投資と一体で進める必要があると指摘しています。

その他の注目トピック

このほか、9月下旬から10月下旬にかけて次のような発表がありました。

• AWSがLFのプラチナメンバーに(10/7)
• LFが電力網のためのオープンな共有インフラを構築する「OpenGrid」を発足(10/7)。9月号で触れたLF Energyの調査に続く、エネルギー分野での動き
• OpenSSFがCommunity Day Europeでメンバー拡大と新たなグローバル政策リソースを発表(10/6)
• Civil Infrastructure Platform(CIP)が産業制御システムのセキュリティ規格IEC 62443への準拠を達成(9/28)
• x402 Foundationのエグゼクティブディレクターにマイケル・ハースタ氏が就任(10/1)
• CNCFに欧州最大級の独立系クラウド事業者OVHcloudがプラチナメンバーとして加入(10/7)
• OCUDU Ecosystem Foundationが「OCUDU 26.10」をリリースし、オープンソースRANに衛星接続と新たな5G機能を追加(10/8)
• LFがビルドツール「Bazel」のエコシステムを支える「BUILD Foundation」を発足(10/14、アムステルダムのBazelConで発表)。創設メンバーはASML、Canva、Datadog、EngFlow、Figma、Spotifyの6社でメンテナーの支援、ドキュメント、研修・認定、IDE統合、サプライチェーンセキュリティへの継続的な投資を担う
• PyTorch Foundationが9つの新メンバーを迎えたことを発表(10/20)

まとめ

今月のLinux Foundationウォッチでは、10月7日にプラハで開催されたOpen Source Summit Europeでの発表を中心に「2026 State of Open Source in Europe」とOSERAの本格稼働、そしてLF Researchの「生成AI時代のOSS開発」レポートを取り上げました。

欧州レポートとOSERAに共通するのは、オープンソースを「使う」段階から「共同で管理する」段階への移行です。欧州レポートは、ガバナンスを持つ組織ほど高いリターンを得ていること、そしてプライベートフォークが大きな維持コストを生んでいることを示しました。OSERAはまさにそのフォークのコストを金融業界全体で共同化する取り組みです。各社が個別に抱えてきたパッチ作業をオープンな標準と共通のパイプラインに置き換えることで、重複コストを減らしながら修正の品質を揃えようとしています。

また、欧州レポートでは63%の組織が規制圧力を受けて依存関係管理への投資を増やしており、OSERAもDORA、NIS2、CRAへの対応を掲げています。CRAの完全適用が2027年12月に迫る中、EU市場に製品を供給する日本企業にとってもオープンソースを自社だけで抱え込まず、業界で共同して管理する仕組みにどう関わるかが問われる段階に入ったと言えるでしょう。

一方、生成AI時代のOSS開発レポートは、オープンソースの「共同管理」が技術やコストだけでなく、人の問題でもあることを示しています。AIによってコントリビューションの量は増えましたが、その4分の1はメンテナーにとって負担にしかならず、AI利用に関するポリシーを持つプロジェクトは3分の1にとどまっています。OSSを利用する企業の立場からもAIを使って上流に貢献する際のルールを社内で定め、提出前のレビューやAI利用の明示を徹底することがメンテナーの負担を減らし、プロジェクトの持続可能性を支えることにつながります。

10月22日〜23日にはサンノゼで「AGNTCon＋MCPCon North America」が開催されました。9月号で取り上げた日本開催に続く北米での開催です。会期中、Agentic AI Foundation(AAIF)は、2025年12月の発足から1年足らずでメンバー数が305組織に達したことを発表しました。新たなゴールドメンバーにはGates Foundation、Royal Bank of Canada、MongoDBなどが、アソシエイトメンバーには米国立標準技術研究所(NIST)などが加わっています。

【参照】Agentic AI Foundation Surpasses 300 Members in Less Than One Year(AAIFメンバー305組織到達：プレスリリース)
https://www.linuxfoundation.org/press/agentic-ai-foundation-surpasses-300-members-in-less-than-one-year

あわせて、AAIFは4つの新プロジェクトの受け入れも発表しました。Anthropicが提供した「Agent Skills」(エージェントが必要に応じて読み込む指示やスクリプトをまとめる形式)、OpenAIが提供した「Open Responses」(OpenAI Responses APIを基にした、モデル提供者をまたいで使えるLLMインターフェースの仕様)、Hugging Faceが提供した「OpenEnv」(強化学習環境の相互運用フレームワーク)、Alibabaが提供した「OpenSandbox」(AIアプリケーション向けの汎用サンドボックス基盤)です。これによりAAIFのホストするプロジェクトは、発足時のMCP、goose、AGENTS.mdの3つから10に増えました。