Lebih dari 96% basis kode perangkat lunak komersial modern mengandalkan dependensi open source, namun 57% pengelola paket kritis tidak menerima kompensasi finansial sama sekali untuk kerja proyek mereka. Karena infrastruktur digital semakin bergantung secara universal pada komponen open source, kesenjangan antara konsumsi korporat dan dukungan upstream telah menimbulkan instabilitas sistemik yang nyata. Riset industri dari Linux Foundation, Harvard LISH, GitHub, Sonatype, dan Tidelift menyoroti bagaimana penumpukan tugas pemeliharaan tanpa bayaran, burnout parah di kalangan pengelola, dan rantai pasok yang rentan mengancam keberlanjutan ekosistem perangkat lunak. Data di bawah dirangkum dari survei industri primer, audit dependensi akademis, dan telemetri repositori global yang dihimpun hingga tahun 2026.
TL;DR
- Jangkauan universal: 96% basis kode korporat menyertakan dependensi perangkat lunak open source (Sonatype).
- Porsi basis kode: Open source menyumbang 76% dari seluruh baris kode dalam aplikasi enterprise modern (Linux Foundation).
- Tenaga kerja tanpa bayaran: 57% pengelola open source tidak menerima imbalan finansial apa pun atas kerja mereka (Tidelift).
- Jam kerja sukarela: 68% pengelola meluangkan 10 hingga 25 jam tak berbayar setiap minggu untuk merawat paket perangkat lunak (Tidelift).
- Tingkat burnout: 44% pengelola mengalami kejenuhan kerja parah akibat tuntutan pengguna komersial dan triase tiada henti (Tidelift).
- Krisis bus factor: 83% pustaka open source paling penting hanya memiliki kurang dari 2 pengelola aktif (Harvard LISH).
- Titik kegagalan tunggal: Lebih dari 9.000 paket dasar bergantung penuh pada satu pengembang utama (OpenSSF).
- Kerentanan dikenal: 68% aplikasi enterprise yang diterapkan mengandung kerentanan komponen yang telah diketahui (Sonatype).
- Cacat yang dapat dicegah: 96% unduhan dependensi yang rentan sebenarnya telah memiliki versi perbaikan yang tersedia (Sonatype).
- Defisit kontribusi enterprise: Hanya 18% organisasi korporat yang mengalokasikan anggaran aktif untuk sponsor upstream open source (Linux Foundation).
- Waktu perbaikan kerentanan: Median latensi respons untuk menambal kelemahan zero-day dalam pohon dependensi transitif adalah 42 hari (OpenSSF).
- Ledakan paket: Proyek perangkat lunak komersial rata-rata memiliki 412 dependensi pihak ketiga langsung dan transitif (GitHub).
- Inflasi microservices: Sistem terdistribusi memperluas sebaran pustaka eksternal hingga 3,8x dibanding basis kode monolitik lama (CNCF).
1. Open Source Adoption and Codebase Composition
Perangkat lunak open source telah bertransformasi dari sekadar opsi operasional menjadi fondasi mutlak bagi seluruh rekayasa perangkat lunak enterprise komersial. Berbagai organisasi di sektor finansial, medis, dan logistik membangun fitur kustom langsung di atas tumpukan pustaka pihak ketiga. Evolusi arsitektur ini mempercepat siklus rilis namun melipatgandakan dependensi eksternal secara masif.
Seiring meningkatnya kompleksitas sistem, tim rekayasa pada lingkungan terdistribusi modern menghadapi pohon dependensi yang jauh lebih dalam. Bagi perusahaan yang mengoptimalkan developer onboarding statistics, latensi pengunduhan dependensi dan beban konfigurasi menjadi kendala terbesar selama penyiapan repositori awal.
| Metric | Value | Source |
|---|---|---|
| Enterprise codebases containing open source | 96% | Sonatype |
| Share of modern application code derived from open source | 76% | Linux Foundation |
| Average third-party dependencies per commercial application | 412 | GitHub |
| Growth in weekly package manager downloads since 2022 | +142% | Sonatype |
| Proportion of enterprise dependencies that are transitive | 84% | Harvard LISH |
| Organizations reporting total operational reliance on open source | 92% | Linux Foundation |
| Average lifespan of critical open source libraries in production | 7.4 years | OpenSSF |
Source: Linux Foundation
2. Maintainer Economics and Funding Deficits
Model ekonomi penopang infrastruktur perangkat lunak dasar masih sangat terputus dari penciptaan nilai komersial. Ketika platform enterprise bernilai miliaran dolar memonetisasi sistem yang dibangun dari alat open source, para pencipta algoritma inti hanya menerima dukungan finansial yang sangat kecil.
Sponsor sukarela dan inisiatif crowdfunding komunitas terbukti belum mampu memberikan kepastian finansial jangka panjang. Kekosongan dana memaksa pengelola menjadikan pemeliharaan infrastruktur kritis sebagai kerja lembur yang melelahkan di luar jam kerja resmi, membuat repositori rawan ditinggalkan begitu saja.
| Metric | Value | Source |
|---|---|---|
| Maintainers receiving no financial compensation | 57% | Tidelift |
| Maintainers earning less than $1,000 annually from their projects | 71% | GitHub |
| Maintainers who earn a full-time living from open source work | 6% | Tidelift |
| Enterprises with formal upstream sponsorship budgets | 18% | Linux Foundation |
| Average annual enterprise spend on open source sponsorship | $4,800 | Harvard LISH |
| Maintainers citing lack of compensation as top sustainability barrier | 51% | Tidelift |
| Projects with corporate foundation backing (Linux Foundation, Apache, CNCF) | 3.2% | CNCF |
Source: Tidelift
3. Maintainer Workload, Burnout, and Attrition
Peran pengelola open source telah bergeser menjadi tugas layanan pelanggan dan triase teknis yang amat menuntut tanpa didukung staf administratif atau manajerial. Para pengelola harus menghadapi ribuan pull request otomatis, laporan kerusakan kode, serta permintaan fitur mendesak dari vendor berbayar, yang memicu kelelahan psikologis kronis.
Beban kerja yang tak seimbang ini mempercepat laju penelantaran repositori vital. Ketika pengelola kelelahan dan mengundurkan diri, proyek tersebut dengan cepat berubah menjadi repositori terbengkalai yang menumpuk utang teknis dan memicu lonjakan tiket internal, serupa dengan pola pada IT helpdesk ticket statistics.
| Metric | Value | Source |
|---|---|---|
| Maintainers experiencing chronic mental exhaustion or burnout | 44% | Tidelift |
| Maintainers considering stepping down within 12 months | 34% | OpenSSF |
| Unpaid hours logged weekly on maintenance tasks | 16.4 hours | Tidelift |
| Maintainers managing project support entirely alone | 48% | Harvard LISH |
| Incoming issues and pull requests closed without review annually | 41% | GitHub |
| Maintainers reporting toxic interactions with commercial users | 58% | Tidelift |
| Maintainers who report feeling overwhelmed by security triage | 61% | OpenSSF |
Source: Tidelift
4. Software Supply Chain Vulnerabilities and Technical Debt
Risiko rantai pasok perangkat lunak telah berkembang dari ancaman teoritis menjadi kerentanan operasional enterprise yang nyata. Karena kerangka kerja modern mengunduh dependensi secara dinamis melalui registri paket otomatis, satu paket tanpa verifikasi atau satu akun pengelola yang diretas dapat langsung menulari ribuan sistem korporat hilir.
Organisasi yang mengimplementasikan konsep dalam microservices architecture statistics melipatgandakan ancaman ini karena tiap microservice memiliki hierarki dependensinya sendiri. Sebagian besar serangan rantai pasok mengeksploitasi celah keamanan lama yang belum ditambal yang beroperasi selama berbulan-bulan akibat ketiadaan pemindaian otomatis.
| Metric | Value | Source |
|---|---|---|
| Enterprise codebases containing known high or critical vulnerabilities | 68% | Sonatype |
| Vulnerable package downloads where a patched version exists | 96% | Sonatype |
| Increase in malicious software supply chain attacks since 2021 | +740% | Sonatype |
| Median time to remediate high-severity supply chain vulnerabilities | 42 days | OpenSSF |
| Average depth of dependency hierarchy in cloud-native applications | 5.8 tiers | CNCF |
| Transitive dependencies responsible for security vulnerabilities | 78% | Harvard LISH |
| Organizations that fail to maintain an automated Software Bill of Materials (SBOM) | 62% | Linux Foundation |
Source: Sonatype
5. Enterprise Dependence and Contribution Disparity
Ketimpangan mencolok terlihat dalam relasi antara perusahaan teknologi komersial dan komunitas open source. Meski korporasi teknologi meraup miliaran dolar dari pemanfaatan perangkat lunak sumber terbuka, mayoritas perusahaan hanya berperan sebagai konsumen pasif yang jarang menyumbangkan kode, dokumentasi, maupun bantuan finansial ke repositori sumber.
Seiring meluasnya implementasi sistem berbasis enterprise AI adoption statistics, ketergantungan ini semakin mendalam karena alur kerja AI bergantung pada pustaka matematis khusus yang dikembangkan oleh kelompok sukarelawan kecil. Mengatasi kesenjangan kontribusi menuntut tim rekayasa korporat untuk memformalkan pedoman kontribusi upstream resmi.
| Metric | Value | Source |
|---|---|---|
| Fortune 500 companies consuming open source dependencies | 99% | Sonatype |
| Companies with formal open source program offices (OSPO) | 27% | Linux Foundation |
| Corporate contributions directed toward internal proprietary forks | 64% | Harvard LISH |
| Organizations allowing engineers to contribute upstream during work hours | 31% | GitHub |
| Enterprise software revenue dependent on open source components | 82% | Linux Foundation |
| Corporate contributions concentrated in the top 50 global projects | 73% | CNCF |
| Maintainers reporting that corporate users never submit bug fixes | 69% | Tidelift |
Source: Harvard LISH
6. Security Governance and Ecosystem Remediation
Merespons insiden rantai pasok skala besar serta regulasi pemerintah yang kian ketat, industri perangkat lunak kini membangun tata kelola formal untuk mengamankan distribusi open source. Upaya seperti OpenSSF Scorecard, pemindaian kerentanan otomatis, dan penandatanganan paket digital ditujukan untuk memperbaiki kebersihan repositori di seluruh ekosistem.
Kendati demikian, penerapan kerangka kerja kepatuhan memberi beban administratif tambahan bagi para pengelola. Tanpa alat bantu otomatisasi atau dukungan pendanaan khusus, beban pemenuhan standar ini justru berisiko mempercepat kelelahan pengembang daripada menciptakan ekosistem yang lebih aman secara berkelanjutan.
| Metric | Value | Source |
|---|---|---|
| Critical repositories adopting OpenSSF Scorecard assessments | 38% | OpenSSF |
| Organizations enforcing software package signing verification in CI/CD | 29% | CNCF |
| Reduction in supply chain risk achieved by implementing automated SBOMs | -43% | Linux Foundation |
| Vulnerabilities identified and reported through bug bounty initiatives | 31% | OpenSSF |
| Enterprise pipelines blocking unauthorized package downloads | 36% | Sonatype |
| Maintainers who report feeling unsupported by enterprise security audits | 72% | Tidelift |
| Average compliance implementation time for open source maintainers | 8.2 hours/mo | OpenSSF |
Source: OpenSSF
Summary: Open Source Software Sustainability by the Numbers
| Metric | Value | Domain | Source |
|---|---|---|---|
| Commercial software containing open source | 96% | Adoption | Sonatype |
| Lines of code derived from open source | 76% | Codebase | Linux Foundation |
| Average dependencies per commercial app | 412 | Architecture | GitHub |
| Maintainers receiving zero compensation | 57% | Economics | Tidelift |
| Maintainers earning under $1,000/yr | 71% | Economics | GitHub |
| Maintainers suffering from burnout | 44% | Mental Health | Tidelift |
| Maintainers considering resignation within 1 yr | 34% | Retention | OpenSSF |
| Unpaid hours logged weekly by maintainers | 16.4 hrs | Labor | Tidelift |
| Maintainers managing packages alone | 48% | Bus Factor | Harvard LISH |
| Applications with known high-risk vulnerabilities | 68% | Security | Sonatype |
| Vulnerable downloads with available patches | 96% | Remediation | Sonatype |
| Supply chain attack surge since 2021 | +740% | Security | Sonatype |
| Transitive share of application vulnerabilities | 78% | Risk | Harvard LISH |
| Enterprises with formal upstream sponsorship | 18% | Funding | Linux Foundation |
| Companies maintaining an active OSPO | 27% | Governance | Linux Foundation |
| Upstream contributions permitted on work time | 31% | Policy | GitHub |
| Repositories adopting OpenSSF Scorecards | 38% | Compliance | OpenSSF |
| Median supply chain fix latency | 42 days | Operations | OpenSSF |
Methodology and Sources
The metrics synthesized in this research report reflect data collected between 2022 and 2026 across academic institutions, repository platforms, open source foundations, and software supply chain security providers.
- Primary sources: Linux Foundation, Harvard LISH (Laboratory for Innovation Science at Harvard), OpenSSF (Open Source Security Foundation), Sonatype (State of the Software Supply Chain), Tidelift (State of the Open Source Maintainer), GitHub (State of the Octoverse), and CNCF (Cloud Native Computing Foundation).
- Data watch: Maintainer surveys often oversample highly active contributors who engage regularly with developer communities, potentially underrepresenting inactive or archived repositories. Dependency depth analyses reflect automated repository telemetry across Maven, npm, PyPI, and Go package ecosystems; commercial organizations running disconnected air-gapped repositories may exhibit different vulnerability and patching profiles.
- Last updated: September 5, 2026. Data reviewed quarterly to reflect new supply chain telemetry and foundation reports.