公開から3日後に突然、「ちょっと話したい」とメールが届くあえて自分では「直さない」のが、コミュニティ運営の秘訣まずはREADMEの作り込みから。「広める」努力を怠らないスターを押すだけでもいい。できる所から「貢献」をはじめよう「才能が公正に評価され、どこでも誰とでも働けるプラットフォームを作る」–––オープンソースプロジェクトのための報賞金サービス『IssueHunt』を開発・運営するBoostIO株式会社のミッションを達成するためには、いかなる社会変革が必要なのでしょうか。オープンソースを日本の“文化”へと昇華させるべく、先進的な取り組みを行う企業に話を伺っていきます。Security社に買収され、2019年8月のブログ記事「趣味で作ったソフトウェアが海外企業に買われるまでの話」も話題を呼んだknqyf263氏と、Trivyの共同開発者である天地知也氏にインタビュー。BoostIOのCo-founder/CEOである横溝一将が聞き手を務め、趣味で開発していた個人のオープンソースプロジェクトが買収されるまでの軌跡と、その背景にある徹底した「広める」戦略に迫ります。Security社から買収の申し出を受け、譲渡のみならず、開発者のknqyf263さんが同社の社員としてイスラエルでソフトウェア開発を続けられるようになったことは、オープンソース界隈で話題を呼びました。あらゆる開発者に、夢と希望を与えたと思います。今日はお二人にお話を伺えるのを、とても楽しみにしていました。お二人の現在の活動内容をご紹介いただきたいです。knqyf263さんから、よろしくお願いします。knqyf263氏2019年9月よりイスラエルにてセキュリティエンジニアとしてオープンソース開発に従事。今一番応援している企業はTOTOで、何とかイスラエルにウォシュレットを普及させて欲しいと考えている。knqyf263:knqyf263と申します。Trivyを譲渡したといっても、実際にイスラエルに行ったらどうなるか分かりませんし、まだ何も偉そうなことを言える立場ではありません。顔出しNGということでマスクをつけさせていただいておりますが、ご容赦ください(笑)。現在はIT企業でセキュリティエンジニアとして脆弱性の解析やセキュリティ向上のためのシステム開発などに従事しつつ、趣味でオープンソース開発も手がけています。グッドウィズのCEO。看護師やゲームプロデューサーなどを経験した結果、技術に触れている時間が一番楽しかったので技術者になる。現在はオープンソースの開発を行いながら、他社への技術支援やコンサルティングを行う。天地知也(以下、天地):天地と申します。いまはエンジニアとして働きつつ、自分でもオープンソース開発を行なっています。実はもともと看護師だったのですが、独学でプログラミングを始め、起業やゲームのプロデューサーなどを経て、エンジニアに行き着きました。knqyf263と親しくさせていただいていたご縁で、ライブラリ構築を中心に、Trivyの開発もがっつりお手伝いさせていただきました。横溝:ありがとうございます。お二人がオープンソース開発に携わるようになったきっかけも、教えていただけますか?knqyf263:大学時代の先輩の一言ですね。当時はスマホアプリ制作やサーバ構築を手がけていたのですが、「オープンソースは“使う”もの」という意識が強かったです。shell』の表示設定が思うようにいかなくて困っていた先輩に対して、別の先輩が「そんなに困っているなら、ソースコードを直せばいいじゃん」と声をかけているのをいるのを見まして。したやり取りだったのですが、自分にとっては衝撃が大きかったのを覚えています。そこから「直す側」としての自覚が芽生えました。その先輩に、僕がプロトコルのレベルまで見られないことを馬鹿にされ、悔しく思ったのも大きかったです。「ちゃんとアーキテクチャから勉強しよう」と決心し、オープンソースを手がけるにあたっての基礎体力をつけることにつながりました。「設計の理解まではしなくても、とりあえず作ってしまおう」という勢いベースのやり方もアリですが、僕の場合は、構造を理解してからオープンソースに取り組むやり方が合っていました。天地:僕がオープンソース開発に携わるようになったのは、オープンソースの脆弱性検知ツール『Vuls』の開発者である神戸康多さんとお会いしたのがきっかけです。彼の仕事を業務委託で手伝わせていただけるようになり、あわせてVulsコミュニティにも関わるようになりました。システムやアプリケーション受託の会社を福岡で起業しその後上京。その後会社として作っていたBoostnoteをオープンソース化し、現在はGitHubスター約15,000を獲得している。共創してくれているコミュニティの方々に何か恩返ししたい想いや、オープンソースエコシステムが抱える課題をIssueHuntに落とし込み、グローバルなメンバー達とともに世界へ挑戦している。横溝:お二人はどのように出会われたのでしょうか?天地:二人ともVulsのコミッターとして活動していたことがきっかけです。Vulsでコンテナイメージスキャンするための方法を、knqyf263さんに相談したところ「前からコンテナイメージスキャナ開発を少しずつ進めていたし、このまま俺が作るよ」と言ってくださって。OSのパッケージ取得などは僕も手伝いましたが、彼がコンテナイメージの構造を調べて実装してくれたんです。横溝:オープンソース的で素晴らしいですね。Trivyはどういった経緯で開発することになったのでしょうか?knqyf263:1年半ほど前から、新しいコンテナイメージスキャンのツールを作りたいと思っていました。リサーチしたり既存ツールのソースコードを読んだりして検証用のコードを書いたりはしていたのですが、なかなか開発のためのまとまった時間が取れなくて。そんな折、2019年の4月頃、天地さんが「イメージスキャナ開発を引き継ぎたいです」と言ってくれたんです。1年以上アイディアを練ってきたし自分で形にしたいという思いと、ちょうど10日間のゴールデンウィークが控えていたこともあり、「10日使えばいけるかも」と思い、開発に踏み切りました。公開から3日後に突然、「ちょっと話したい」とメールが届く横溝:開発はどのように進められたのでしょう?knqyf263:ゴールデンウィーク中はひたすら開発していましたね。後輩とラーメン二郎を食べに行ったり、ボードゲームをしたりしても、急いで帰ってすぐPCに向かう生活。朝に出かけていった妻が、夜に帰ってきたときも全く同じ体制でPCに向かっている僕を見て、引いていましたね(笑)。天地:だいたい午前8時から午前4時くらいまで、常に連絡を取れる状態で開発し続けていましたよね。寝ずに、エナジードリンクを飲みまくって。横溝:ハンパないですね...!続いて、買収に至った経緯についてもお話を伺いたいです。Security社からいきなりメールが来た」と書かれていましたが、実際どのようなフローで売却に至られたのでしょうか?knqyf263:公開から3日後、まだスターが400〜500個ほどしかない時のことでした。Trivy」といった件名で、「ちょっと話したい」と書かれたメールが届きました。Security社は無料の脆弱性コンテナイメージスキャナとして『MicroScanner』というツールを公開しているのですが、そちらとTrivyとの比較グラフを載せてTrivyの方が良いといった内容を書いていたので、「これは絶対に怒っているやつだ」と思い、ただただ怖かったですね。訴訟されるリスクもあると思い、誰にも相談できずに怯えていたのですが、その次のメールに「自分はMicroScannerを作った開発者の一人です。Trivyは自分たちとは違うアプローチを取っていて、すごい面白かった」と書かれていて。ソースコードもしっかりと読んでいただいたうえでの、CTO直々の買収提案でした。最初は半信半疑でしたが、話せば話すほど誠意を感じました。他の人に話すと「オープンソースで買収ってどういう意味?パクればいいだけじゃん」と反応され、僕もそう思ってCTOの方に聞いてみると、「うちのツールとしてパブリッシュしてメンテナンスしていきたいから、そのためにお金を払いたいんだ」と言ってくれた。英語が不自由な旨を伝えると、その夜には通訳の方を用意してくれたのも、本気度を感じました。横溝:すごい話ですね。オープンソースの売却自体とても珍しい話だと思うのですが、譲渡の決断に至った決め手は、何だったのでしょうか?knqyf263:ただ譲渡するだけでなく、自分が会社に入ってその後もメンテナンスを続けられるのが大きかったです。趣味として開発を続けていくことの難しさを感じていたので、仕事として続けられるのは悪くない話だと思いました。自分一人で意思決定ができなくなるなどの問題は生じますが、それでも安定性などにおいて利点のほうが多いと考えています。Security社に参加することを決めた理由は2つあります。(TOC)メンバーが、上司にいた点。TOCはCNCFにどういったプロジェクトを採択するかなどを決める立場です。グローバルなオープンソースコミュニティの中心にいる人と一緒に働ける機会は日本ではなかなか得られないため、色々と学ぶ事が多いだろうと考えました。オープンソースチームの募集要項を見たら、「オープンソースが好きで、Goが書けて、ネットワークやセキュリティ周りに詳しく、CI/CDやKubernetesの経験もある人」と書いてあり、「完全に俺だ」と思った点です。これ以上ないほどフィットしそうなチームで、運命を感じましたね。2年ほど前にアメリカや台湾でVulsの発表をした際に、実戦的な英語力を身につけることの必要性も痛感していましたし、Trivyのメンテナンスも続けられるしで、もう断る理由ないなと。オープンソースを売却されたお話ははじめて伺うので、大変興味深いです。ちなみに葛藤などはありましたか?knqyf263:最初はありました。イスラエルはサイバーセキュリティ先進国であり、「そこで働いて日本と何が違うのか見てみたい」という好奇心のほうが次第に強くなっていきました。僕は英語も苦手で全然グローバル志向ではなく、日本が大好きな人間。CTOの方に「俺も英語喋れないけど大丈夫」と言ってもらえたのは大きかったですね。実際には十分喋っていて、日本人っぽい謙遜だなと思いました(笑)。横溝:ちなみに、交渉時に気をつけておくべきポイントなどはありますか?これからオープンソースの売買はますます増えていくと思うので、売却を視野に入れている方々の参考になれば良いなと思っています。knqyf263:前もって特許を取っておけば良かったなとは思います。既存のツールではやってない手法も使っていたのですが、予め特許を取っておけば、もっと金銭面に跳ね返ったかもしれません。結局、オープンソースは誰でも無料で使えるので、大きな金額はつけにくいと実際に言われました。その際に、独占で使える権利を付与するライセンスなどをつけておけば、もっと攻められたかもしれません。