ついにきたか…Cal.comがまさかのクローズドソースへ転換

オープンソース界隈で注目を集めていた予約スケジューリングプラットフォーム「Cal.com」が、ソースコードを非公開にする方針を発表しました。OSSとしての成長を期待していた開発者にとっては非常に残念なニュースです。今後のプロダクト展開やライセンスの変更点について、詳細な動向を注視する必要があります。

なんだか反射的で奇妙な反応だな。セキュリティ上の判断というより、ビジネス上の判断って感じがする。AIのおかげでソフトウェアのセルフホスティングが確実に楽になってるから、OSSプロジェクトのホスティングサービスにお金を払うメリットがどんどん減ってきているんだろうね。

気持ちはわからなくもないけど、これって「隠蔽によるセキュリティ（セキュリティ・バイ・オブスキュリティ）」にしか思えないな。そもそも、それが正しいモデルだなんていつ決まったんだ？

これ、ちょっとどうかしてるよ。もしLLMがコードの脆弱性を見つけるのにこれほど驚異的な能力を持っているなら、解決策はリリース前にLLMで自社のコードをチェックすることじゃないのか？公開前に自分たちでペネトレーションテストを完結させればいい。LLMが見つけられないなら、そのコードはリリースしてOKってことだろ。

数年前に教室で「リーナスの法則」を持ち出したらコテンパンに否定されたんだけど、今やLLMのおかげでそれが証明されてしまったのは皮肉な話だよね。

https://en.wikipedia.org/wiki/Linus%27s_law

Drew Breunigが昨日、これとは真逆の結論を出した興味深い記事を公開してるよ：https://www.dbreunig.com/2026/04/14/cybersecurity-is-proof-of-work-now.html

トークンを消費すればセキュリティの脆弱性を見つけられるようになった今、オープンソースにはむしろ価値がある。オープンソースのライブラリなら監査予算を共有できるけど、クローズドソースだと自前ですべての脆弱性を探さなきゃいけないからね。

Mythosにお金を注ぎ込めば脆弱性を見つけ続けられるのであれば、セキュリティは残酷なまでに単純な方程式に還元される。つまり、システムを強固にするには、攻撃者が消費するトークン以上の額を、脆弱性の発見に費やす必要があるということだ。

ソースコードがないサイトに対して、ブラックボックステストのためにClaude Codeなどのツールを使いまくってるセキュリティリサーチャーを何人も知ってるよ。製品全体を閉じてしまうのが、唯一安全な判断に見えるんだろうね。

面白いことに、このニュースが出てきたのとちょうど同じタイミングで、僕ら（Xata）は逆の方向に舵を切ったところなんだ。AIによる変化も理由の一つだよ：https://xata.io/blog/open-source-postgres-branching-copy-on-write

両方の視点（コードの再現が容易になる、AIエージェントが仕組みを理解しやすくなるなど）で検討したけど、正直、セキュリティの観点ではオープンソースに軍配が上がると思う。OSSならより多くの目に早く晒されるから、バグが長期間放置されることはないはずだよ。

まあ、どうなるかは時間が経ってみないとわからないけど、僕はオープンソース派だね。

cal.comさん、潜在顧客だった自分としては、これであなたを信頼できなくなったよ。
オープンソースはSSDLC（セキュアソフトウェア開発ライフサイクル）の透明性を高めることで利益を得られるはず。クローズドソースになれば、結局ベンダーを信じるしかないわけだし。

ただ、Drew Breunigの意見には完全に同意できないな。バグの数は無限じゃない。十分に高性能なモデルを手に入れて、定期的にソースコードをスキャンできるようになれば、悪用可能なバグが残る可能性は劇的に下がるはずだよ。

前提1：モダンなアプリのコードの大半は共有ライブラリで構成されている。
前提2：人気の共有ライブラリは、LLMセキュリティツールによって脆弱性を即座に暴き出されるようになる。
前提3：大量の脆弱性が発見される短い期間を経た後、共有ライブラリ全体の品質は劇的に向上する。
結論：最初の脆弱性の波が過ぎ去った後、オープンソースのコードベースにとっての主な脅威は、比較的小規模な「自前のコード」部分に集約されることになるだろう。

Thunderbirdプロジェクトの責任者です。

私たちのスケジュール管理ツール「Thunderbird Appointment」は、これからもずっとオープンソースであり続けます。

リポジトリはこちら：https://github.com/thunderbird/appointment

ぜひ私たちと話をしましょう。そして一緒に作りましょう。Cal.comからの乗り換えを全力でサポートしますよ。

これ、騒ぐほどのことじゃないよ。彼らは以前のcal.comをcal.diyとして（ちなみにAGPLとかじゃなくてMITライセンスで）ライセンスし直しただけで、実質的に自分たちの製品をフォークしただけだ。本当に必要としてる人は、この発表がある前と同じようにcal.diyを使えばいいだけの話だよ。