Open source ПО несет оценочную ценность в $8.8 трлн со стороны спроса - сумму, которую компании коллективно должны были бы заплатить, чтобы воссоздать его самостоятельно, согласно исследованию Harvard Business School 2024 года The Value of Open Source Software. Иными словами, те же исследователи обнаружили, что компании тратили бы на ПО в 3.5 раза больше, если бы open source не существовал. Эта ценность сегодня лежит в основе практически каждого коммерческого приложения: отчет Black Duck OSSRA за 2025 год обнаружил open source в 97% кодовых баз, а Sonatype зафиксировала 9.8 трлн загрузок пакетов через четыре крупнейших реестра в 2025 году. Этот анализ объединяет данные GitHub Octoverse, Black Duck OSSRA, Sonatype, Harvard Business School, Linux Foundation и еще 11 первичных источников, чтобы отразить open source в цифрах.
TL;DR
- Ценность open source со стороны спроса оценивается в $8.8 трлн; без него компании тратили бы на 3.5x больше (Harvard Business School, 2024).
- 97% коммерческих кодовых баз содержат open source, в среднем по 911 компонентов в каждой (Black Duck, OSSRA 2025).
- GitHub превысил отметку в 180 миллионов разработчиков, добавив 36.2 миллиона в 2025 году - примерно по одному в секунду (GitHub, Octoverse 2025).
- Индия стала источником номер один по контрибьюторам open source, достигнув 21.9 миллиона разработчиков (GitHub, Octoverse 2025).
- Потребление open source достигло 9.8 трлн загрузок в 2025 году, рост на 67% в годовом исчислении (Sonatype, 2026).
- В 2025 году появилось более 454,600 новых вредоносных пакетов, при этом вредоносное ПО в open source выросло на 75% (Sonatype, 2026).
- 86% коммерческих кодовых баз содержат компоненты open source с известными уязвимостями (Black Duck, OSSRA 2025).
- 60% мейнтейнеров - неоплачиваемые хоббисты, а 60% уже уходили или задумывались об уходе (Tidelift, 2024).
- Активное участие в open source приносит в среднем соотношение выгоды к затратам 2.5x (Linux Foundation, 2026).
- Рынок open source ПО оценивается примерно в $53-57 млрд на 2026 год (Research and Markets; Business Research Insights, 2026).
1. Адаптация: open source стал стандартом по умолчанию
Open source перестал быть выбором и стал субстратом. Практически каждое приложение, выпускаемое сегодня, в значительной степени собрано из компонентов, которые не контролирует ни один отдельный поставщик, а граф зависимостей уходит глубже, чем большинство команд способны отследить. Black Duck обнаружила, что 64% open source компонентов в среднестатистической кодовой базе являются транзитивными - подтянутыми косвенно через другие зависимости, - и именно там ломаются видимость и патчинг.
| Метрика | Значение | Источник |
|---|---|---|
| Коммерческие кодовые базы, содержащие open source | 97% | Black Duck, OSSRA 2025 |
| Компонентов open source в среднем приложении | 911 | Black Duck, OSSRA 2025 |
| Компоненты, являющиеся транзитивными (косвенными) зависимостями | 64% | Black Duck, OSSRA 2025 |
| Организации, увеличившие или сохранившие использование OSS | 96% | OpenLogic, State of Open Source 2025 |
| Организации, значительно увеличившие использование OSS | 26% | OpenLogic, State of Open Source 2025 |
| Организации, внедряющие cloud native технологии | 98% | CNCF, Annual Survey 2025 |
| Пользователи контейнеров, запускающие Kubernetes в продакшене | 82% | CNCF, Annual Survey 2025 |
Контекст: число open source файлов в типичном приложении утроилось - с более чем 5,300 в 2020 году до более чем 16,000 в 2024 году (Black Duck, OSSRA 2025). Для параллельного взгляда на то, как практики на самом деле выбирают свои инструменты, смотрите нашу статистику опроса разработчиков.
2. Разработчики и глобальный вклад
База контрибьюторов растет быстро и смещается географически. Главная новость - не только масштаб, но и распределение: впервые Индия обогнала США по числу контрибьюторов open source, а самый быстрый рост приходит с развивающихся рынков. GitHub добавил 36.2 миллиона разработчиков в 2025 году - в среднем примерно по одному новому разработчику в секунду. Тем не менее создание ценности остается крайне концентрированным - это напряжение определяет экономику open source.
| Метрика | Значение | Источник |
|---|---|---|
| Всего разработчиков на GitHub | 180 миллионов+ | GitHub, Octoverse 2025 |
| Новых разработчиков, добавленных в 2025 году | 36.2 миллиона (+23% в годовом исчислении) | GitHub, Octoverse 2025 |
| Разработчиков в Индии (теперь #1 по контрибьюторам OSS) | 21.9 миллиона | GitHub, Octoverse 2025 |
| Вклады в open source репозитории в 2025 году | 1.12 млрд (+13% в годовом исчислении) | GitHub, Octoverse 2025 |
| Cloud native разработчиков в мире (3 кв. 2025) | 15.6 миллиона | CNCF / SlashData, 2025 |
| Доля ценности OSS со стороны спроса от топ-5% разработчиков | 96% | Harvard Business School, 2024 |
Отклонение: Индия добавила 5.2 миллиона разработчиков в 2025 году, около 14% всех новых аккаунтов GitHub, и, по прогнозам, достигнет 57.5 миллиона к 2030 году (GitHub, Octoverse 2025).
3. Экономическая ценность и размер рынка
Балансовая стоимость open source и его потребительская ценность расходятся на три порядка величины, и в этом разрыве заключена вся суть. Затраты на однократное написание самого используемого open source ПО в мире измеряются миллиардами; затраты на его замену в каждой компании, которая от него зависит, измеряются триллионами. Harvard оценила ценность со стороны спроса в $8.8 трлн против затрат в $4.15 млрд со стороны предложения - соотношение примерно 2,000 к 1 между тем, сколько стоит open source, и тем, сколько стоило его создать.
| Метрика | Значение | Источник |
|---|---|---|
| Ценность open source ПО со стороны спроса | $8.8 трлн | Harvard Business School, 2024 |
| Затраты со стороны предложения (единовременная замена) | $4.15 млрд | Harvard Business School, 2024 |
| Дополнительные расходы на ПО без OSS | 3.5x от текущих | Harvard Business School, 2024 |
| Доля ценности со стороны спроса от топ-6 языков | 84% | Harvard Business School, 2024 |
| Средний ROI активного участия в open source | 2.5x соотношение выгоды к затратам | Linux Foundation, 2026 |
| Топ-100 контрибьюторов, 2018-2025: выгода против инвестиций | $23.2 млрд из $3.9 млрд (6x) | Linux Foundation, 2026 |
| Размер рынка open source ПО, 2026 | ~$53-57 млрд | Research and Markets; Business Research Insights, 2026 |
Примечание о расхождении: оценки размера рынка на 2026 год различаются в зависимости от компании - Research and Markets сообщает о $56.57 млрд (CAGR 16.5%), Global Growth Insights - о $53.93 млрд, а Business Research Insights - о $53.55 млрд; оценка Harvard остается наиболее цитируемой академической оценкой, но датируется 2024 годом. О том, как эта ценность отражается в платных моделях доставки, смотрите нашу статистику SaaS.
4. Экосистема пакетов в масштабе
Потребление - метрика, которая лучше всего отражает реальный след open source, и она ускоряется быстрее, чем база разработчиков. Реестры сегодня обслуживают трафик в масштабе, который способна поглотить только облачная инфраструктура. Загрузки open source достигли 9.8 трлн в 2025 году - скачок на 67% в годовом исчислении, и основная часть этого спроса автоматизирована: 86% трафика Maven Central теперь исходит от облачных провайдеров, а не от отдельных разработчиков.
| Метрика | Значение | Источник |
|---|---|---|
| Загрузки open source по 4 крупнейшим реестрам (2025) | 9.8 трлн (+67% в годовом исчислении) | Sonatype, State of the Software Supply Chain 2026 |
| Трафик Maven Central от облачных провайдеров | 86% | Sonatype, 2026 |
| Проиндексированных артефактов на Maven Central | 67.8 миллиона | Sonatype, 2026 |
| Всего репозиториев, размещенных на GitHub | 630 миллионов | GitHub, Octoverse 2025 |
| Самый используемый язык программирования (впервые) | TypeScript | GitHub, Octoverse 2025 |
| Пакетов, доступных на PyPI | 614,000+ | PyPI, 2025 |
Контекст: GitHub добавил 121 миллион новых репозиториев в 2025 году - самый крупный год по созданию репозиториев, со скоростью примерно 230 новых репозиториев в минуту (GitHub, Octoverse 2025).
5. Безопасность и риски цепочки поставок
Повсеместность создала богатую целями поверхность атаки, а злоумышленники индустриализировали свой подход. Угроза - это уже не отдельные тайпосквоттинги, а постоянные автоматизированные кампании, нацеленные на инструменты разработчиков, которые строят все, что идет дальше по цепочке. Sonatype зафиксировала более 454,600 новых вредоносных пакетов в 2025 году, при этом вредоносное ПО в open source выросло на 75% в годовом исчислении, и более 99% из него оказалось в npm. Старые уязвимости тоже отказываются исчезать, поддерживая высокий уровень долга по устранению.
| Метрика | Значение | Источник |
|---|---|---|
| Новых вредоносных open source пакетов, найденных в 2025 году | 454,600+ | Sonatype, 2026 |
| Рост вредоносного ПО в open source в годовом исчислении | 75% | Sonatype, 2026 |
| Пакетов, скомпрометированных npm-червем Shai-Hulud | 500+ (за дни) | Sonatype, 2026 |
| Уязвимых загрузок Log4Shell, все еще происходящих в 2025 году | 42 миллиона | Sonatype, 2026 |
| Коммерческие кодовые базы с уязвимым open source | 86% | Black Duck, OSSRA 2025 |
| Кодовые базы с уязвимостями высокого или критического риска | 81% | Black Duck, OSSRA 2025 |
| Кодовые базы с компонентами старше 4+ лет | 90% | Black Duck, OSSRA 2025 |
| CVE 2025 года, получившие полное обогащение NVD | 28% | VulnCheck / NVD analysis, 2026 |
Отклонение: лишь 28% CVE 2025 года были полностью обогащены National Vulnerability Database - снижение с 46.2% в 2024 году, что перекладывает больше нагрузки по триажу на команды дальше по цепочке (VulnCheck / NVD analysis, 2026). Аспект цепочки поставок напрямую связан с более широкими тенденциями угроз в нашей статистике кибербезопасности.
6. Мейнтейнеры, финансирование и устойчивость
Экономика того, кто на самом деле поддерживает open source, - структурное слабое место этой сферы. Крошечная, в основном неоплачиваемая популяция поддерживает код, от которого зависят триллионы долларов торговли, и эта популяция сильно перегружена. Около половины из 13,000 самых загружаемых npm-пакетов поддерживает один человек, что концентрирует и знания, и риск у отдельных людей, которые часто не получают оплаты и близки к выгоранию.
| Метрика | Значение | Источник |
|---|---|---|
| Мейнтейнеров, называющих себя неоплачиваемыми хоббистами | 60% | Tidelift, State of the Maintainer 2024 |
| Мейнтейнеров, уходивших или задумывавшихся об уходе | 60% | Tidelift, 2024 |
| Мейнтейнеров, называющих выгорание причиной ухода | 44% | Tidelift, 2024 |
| Оплачиваемые мейнтейнеры с большей вероятностью следуют практикам безопасности | на 55% вероятнее | Tidelift, 2024 |
| Отслеживаемых проектов с единственным мейнтейнером | ~7 из 11.8 миллиона | Socket / ecosyste.ms, 2025 |
| Топ-13,000 npm-пакетов, поддерживаемых одним человеком | ~50% | Socket / ecosyste.ms, 2025 |
Контекст: Эндрю Несбитт оценивает, что примерно 10,000 человек поддерживают критически важные пакеты, на которые приходится 80% использования в рамках их экосистем, - это подчеркивает, насколько узка на самом деле база поддержки (Socket / ecosyste.ms, 2025).
7. Влияние ИИ на open source
ИИ сегодня стал крупнейшей отдельной силой, преобразующей вклад в open source, снижая порог входа для новых разработчиков и одновременно создавая новые режимы сбоев. Шесть из десяти самых быстрорастущих репозиториев в 2025 году были проектами ИИ-инфраструктуры. Публичные репозитории, использующие LLM SDK, выросли на 178% в годовом исчислении до 1.1 миллиона, а автономные ИИ-агенты для написания кода уже вносят вклад в масштабе, а не как диковинка.
| Метрика | Значение | Источник |
|---|---|---|
| Репозиториев, связанных с ИИ, на GitHub | 4.3 миллиона | GitHub, Octoverse 2025 |
| Публичных репозиториев, использующих LLM SDK | 1.1 миллиона (+178% в годовом исчислении) | GitHub, Octoverse 2025 |
| Pull request, открытых ИИ-агентами (6 месяцев) | 1 миллион+ | GitHub, Octoverse 2025 |
| Публичных моделей на Hugging Face (2025) | 2 миллиона+ | Hugging Face, 2026 |
| Версий компонентов, галлюцинированных GPT-5 в советах по обновлению | 27.8% | Sonatype, 2026 |
| Организаций, начавших внедрять SBOM | 78% | ENISA, SBOM Adoption 2026 |
Этот материал охватывает open source ПО в целом; о моделях, датасетах и дебатах о лицензировании, специфичных для машинного обучения, смотрите наши отдельные материалы: статистику open source ИИ и статистику ИИ-инструментов для написания кода. Примечание: галлюцинации ИИ в названиях пакетов представляют собой актуальный риск цепочки поставок, когда эти названия публикуются как настоящее вредоносное ПО.
Резюме: open source ПО в цифрах
| Метрика | Значение | Источник |
|---|---|---|
| Ценность open source со стороны спроса | $8.8 трлн | Harvard Business School, 2024 |
| Дополнительные расходы на ПО без open source | 3.5x | Harvard Business School, 2024 |
| Доля ценности со стороны спроса от топ-6 языков | 84% | Harvard Business School, 2024 |
| Коммерческие кодовые базы, содержащие open source | 97% | Black Duck, OSSRA 2025 |
| Организации, увеличившие или сохранившие использование OSS | 96% | OpenLogic, 2025 |
| Всего разработчиков на GitHub | 180 миллионов+ | GitHub, Octoverse 2025 |
| Загрузки open source в 2025 году | 9.8 трлн (+67%) | Sonatype, 2026 |
| Всего репозиториев на GitHub | 630 миллионов | GitHub, Octoverse 2025 |
| Новых вредоносных пакетов в 2025 году | 454,600+ | Sonatype, 2026 |
| Рост вредоносного ПО в open source | 75% | Sonatype, 2026 |
| Кодовые базы с уязвимым open source | 86% | Black Duck, OSSRA 2025 |
| Кодовые базы с компонентами старше 4+ лет | 90% | Black Duck, OSSRA 2025 |
| CVE 2025 года, полностью обогащенные NVD | 28% | VulnCheck / NVD, 2026 |
| Мейнтейнеры - неоплачиваемые хоббисты | 60% | Tidelift, 2024 |
| ROI активного участия | 2.5x | Linux Foundation, 2026 |
| ИТ-руководители, считающие корпоративный OSS безопасным или более безопасным | 84-87% | Red Hat, 2025 |
| Cloud native разработчиков в мире | 15.6 миллиона | CNCF / SlashData, 2025 |
| Репозиториев, связанных с ИИ, на GitHub | 4.3 миллиона | GitHub, Octoverse 2025 |
| Публичных моделей на Hugging Face | 2 миллиона+ | Hugging Face, 2026 |
| Рынок open source ПО, 2026 | ~$53-57 млрд | Research and Markets, 2026 |
Методология и источники
Данные были собраны путем отслеживания каждой цифры до ее первичного отчета, опроса или датасета, опубликованного организацией-источником, с приоритетом изданий 2025-2026 годов и пометкой более старых данных там, где они являются самыми свежими из доступных.
- GitHub, Octoverse 2025 - метрики разработчиков, репозиториев, вкладов и ИИ.
- Black Duck, Open Source Security and Risk Analysis (OSSRA) 2025 - состав кодовых баз и данные об уязвимостях (анализ 965 коммерческих кодовых баз в 16 отраслях в течение 2024 года).
- Sonatype, State of the Software Supply Chain 2026 - объемы загрузок, число вредоносных пакетов и выводы о зависимостях, связанных с ИИ.
- Harvard Business School, The Value of Open Source Software (Working Paper 24-038), 2024 - экономическая оценка со стороны спроса и предложения.
- Linux Foundation, ROI for Open Source Software Contribution, 2026 - ROI участия и соотношение выгоды к затратам.
- OpenLogic by Perforce, State of Open Source Report 2025 - корпоративное внедрение и риск окончания жизненного цикла.
- CNCF, Annual Cloud Native Survey 2025 и CNCF / SlashData State of Cloud Native Development 2025 - внедрение cloud native и популяция разработчиков.
- Tidelift, State of the Open Source Maintainer 2024 - вознаграждение мейнтейнеров, выгорание и практики безопасности.
- Socket / ecosyste.ms, 2025 - данные о концентрации у единственного мейнтейнера (Andrew Nesbitt / ecosyste.ms).
- Red Hat, State of Enterprise Open Source (1,296 ИТ-руководителей в 14 странах) - восприятие безопасности и отраслевое внедрение.
- VulnCheck / NVD analysis, 2026 - отставание по обогащению CVE.
- ENISA, SBOM Adoption State of Play 2026 - внедрение спецификаций материалов ПО (SBOM).
- Hugging Face, State of Open Source Spring 2026 - число репозиториев открытых моделей.
- Research and Markets / The Business Research Company; Business Research Insights; Global Growth Insights, 2026 - оценка размера рынка (перекрестная проверка, приведены диапазоны).
- PyPI, 2025 in Review - масштаб реестра пакетов Python.
Отслеживание данных: несколько ключевых источников обновляются ежегодно. GitHub Octoverse публикуется каждую осень (следующее издание ожидается в конце 2026 года), Black Duck OSSRA выходит в 1 квартале (следующее издание ожидается в феврале 2027 года), State of the Software Supply Chain от Sonatype и Annual Survey от CNCF обновляются ежегодно, а Stack Overflow Developer Survey и опрос мейнтейнеров Tidelift ожидают новых изданий. Мы будем обновлять цифры по мере публикации этих отчетов.
Последнее обновление: 16 июля 2026 года. Мы пересматриваем и обновляем эту страницу ежеквартально по мере публикации новых данных.