L’héritage destructeur laissé par Ruby Central

 (andre.arko.net)
3 points par GN⁺ 5 시간 전 | 1 commentaires | Partager sur WhatsApp
  • Après avoir pris le contrôle de RubyGems, Bundler et RubyGems.org, Ruby Central a perdu en 10 mois 2 conférences, 2 grands projets OSS et 9 contributeurs, sans parvenir à résoudre le conflit
  • Sans accepter la proposition d’accord des anciens mainteneurs, Ruby Central a répété qu’elle ne retirerait sa menace de procès que si André Arko renonçait à ses droits sur Bundler et à ses recours liés au droit du travail
  • L’avocat de Ruby Central a signalé Arko au FBI en mars 2026, mais selon Arko, trois audits n’ont trouvé aucune preuve qu’il aurait causé un préjudice à RubyGems.org
  • Ruby Central exploite aujourd’hui un projet de sécurité soutenu par Alpha-Omega et Ruby Alliance, mais Arko met en cause des conflits d’intérêts non divulgués entre les sponsors Gusto et Thoughtbot et des membres du conseil d’administration
  • Pour restaurer la confiance, Arko propose de ne pas revenir à l’ancienne organisation, mais de créer une structure dotée de projets gérés publiquement comme gem.coop, de nouveaux outils et d’un conseil élu par la communauté

Ruby Central avant et après la prise de contrôle

  • Il y a environ 18 mois, Ruby Central organisait chaque année RubyConf et RailsConf
  • L’Open Source Committee était composé de trois personnes, Ufuk, Gabi et Mike, chargées de soutenir et coordonner les équipes OSS
    • 7 contributeurs communautaires à temps partiel : André, Arun, Ellen, Gift, Irene, Josef, Martin
    • 3 développeurs OSS à temps plein : Colby, Samuel, David
    • Projets concernés : RubyGems, Bundler, RubyGems.org
  • Il y a environ 10 mois, un événement que Ellen Dash, membre de l’équipe cœur de RubyGems, a qualifié de « prise de contrôle hostile » s’est produit, et l’équipe qui gérait le projet depuis plus de 10 ans a perdu ses accès

Des capacités organisationnelles disparues en 10 mois

  • Les deux conférences se retrouvent sans calendrier à venir
    • RailsConf a été arrêtée
    • Une part importante de la dernière RubyConf a été annulée
    • Pour la première fois depuis des décennies, le lieu et les dates de la prochaine conférence n’ont pas été annoncés
  • Ruby Central a perdu 2 de ses 3 principaux projets OSS et a transféré Bundler et RubyGems à Matz
  • 9 des 10 contributeurs OSS sont partis
    • 6 des 7 opérateurs de RubyGems.org
    • 2 des 3 contributeurs OSS à temps plein
    • Les 2 personnes chargées des publications liées à l’OSS
  • Les 3 membres de l’Open Source Committee, 5 des 7 administrateurs et les 3 Executive Directors ont quitté leurs fonctions
  • Les principaux sponsors financiers Sidekiq et Shopify sont également partis, même si Shopify a rejoint Ruby Alliance 9 mois plus tard

Une structure de conseil sans élections

  • Contrairement à la Python Software Foundation, Ruby Central n’organise pas d’élections pour son conseil d’administration
  • Les statuts ont été entièrement révisés cette année, mais les nouveaux administrateurs restent nommés uniquement par les administrateurs existants, sans procédure publique de consultation
  • Le conseil actuel se compose des 2 administrateurs restants parmi les 7 qui avaient approuvé la prise de contrôle, ainsi que de 3 nouveaux administrateurs choisis par le conseil précédent : Brandon, Jey et Ran

Nouveau projet de sécurité et Ruby Alliance

  • Après avoir mis fin aux deux conférences et transféré la moitié de ses projets OSS, le seul programme ajouté publiquement est un projet de sécurité financé par une subvention Alpha-Omega
  • Ce projet utilise Project Glasswing d’Anthropic pour trouver des problèmes de sécurité dans des gems déjà publiés
  • Le premier rapport mensuel de juin 2026 signale 5 vulnérabilités
    • 1 de gravité moyenne
    • 4 de gravité faible ou non classée
  • Gusto, Thoughtbot et Shopify participent à Ruby Alliance
  • Arko met en cause de possibles conflits d’intérêts absents de l’annonce des sponsors
    • L’administrateur David Corson-Knowles est Senior Staff Engineer chez Gusto
    • Le président du conseil Ran Craycraft est Managing Director, Americas chez Thoughtbot
    • Les administrateurs qui allouent les fonds reçoivent des financements d’entreprises qui les emploient
  • Shopify est revenu après 9 mois, et Arko cite des reportages externes selon lesquels Shopify aurait alors demandé à Ruby Central de procéder à la prise de contrôle

Le conflit Bundler·RubyGems toujours non résolu

  • Depuis octobre 2025, Ruby Central menace de poursuivre Arko et n’a pas retiré cette menace
  • Le conflit a commencé lorsque Ruby Central a repris en septembre 2025 les projets GitHub Bundler et RubyGems aux mainteneurs existants
  • Quand Arko a indiqué qu’il détenait des droits sur le nom Bundler, Ruby Central l’a averti d’un possible procès au motif d’un prétendu « piratage »
  • Arko a continuellement nié cette accusation de piratage
  • Ruby Central maintient qu’elle ne retirera sa menace de procès que s’il renonce aux recours suivants
    • Recours pour atteinte au nom Bundler
    • Recours liés à une possible violation du droit du travail de l’État concernant le travail de prestataire et à des indemnités impayées

Tentatives d’accord après le transfert des projets

  • Comme Arko n’a pas renoncé à ses recours malgré la menace de procès, Ruby Central a transféré le gem Bundler et le dépôt GitHub RubyGems à Matz
  • Les anciens mainteneurs ont proposé un nouvel accord, mais Ruby Central n’a pas répondu
  • Ruby Central a plutôt répété sa condition initiale : retirer la menace de procès si Arko, seul, renonçait à tous ses recours
  • Après 4 mois sans avancée, Arko a publié un point d’avancement public

Une estimation d’environ 450 000 dollars et les demandes réelles

  • Ruby Central a indiqué vouloir financer un accord avec des fonds externes et a demandé à Arko de chiffrer le montant
  • La demande portait sur les frais d’avocat, les sommes potentiellement dues et 6 mois d’indemnisation après licenciement ; le montant calculé avec l’aide d’experts était d’environ 450 000 dollars
  • Arko affirme ne pas avoir exigé directement cette somme, mais l’avoir fournie à la demande de Ruby Central pour sa recherche de financement
  • Les conditions qu’il a effectivement continué à demander étaient au nombre de deux
    • Des excuses pour les attaques contre sa réputation sans preuve
    • Le remboursement de frais d’avocat très inférieurs à 450 000 dollars

Signalement au FBI et possibilité d’enquête pénale

  • Parallèlement à la recherche de fonds pour un accord, l’avocat de Ruby Central a signalé Arko au FBI et demandé une enquête pénale
  • Le 9 mars 2026, cet avocat a informé l’avocat d’Arko du signalement et lui a indiqué qu’il pourrait avoir besoin d’un avocat spécialisé en droit pénal
  • Selon Arko, trois audits du compte AWS de RubyGems n’ont trouvé aucune preuve qu’il aurait causé un préjudice
  • Un signalement au FBI ne peut pas être retiré ; même si Ruby Central déclare ne plus vouloir le poursuivre, c’est le FBI qui décide d’enquêter ou non

Proposition d’accord minimale après l’épuisement des fonds

  • Quelques semaines après le signalement au FBI, Ruby Central a annoncé que ses fonds étaient épuisés
  • Arko y a vu un signal positif et a présenté une nouvelle proposition de résolution
  • Cette proposition ne demandait ni le retour de Bundler, ni indemnisation au titre du droit du travail, ni excuses
    • Confirmation publique qu’il n’avait pas causé de préjudice à RubyGems
    • Remboursement des frais d’avocat entraînés par les menaces de procès
  • Ruby Central n’a pas répondu pendant 6 semaines à cette proposition ni aux multiples prises de contact

Une clause de non-dénigrement appliquée à une seule partie

  • Après 6 semaines, Ruby Central a de nouveau transmis une proposition indiquant qu’elle retirerait sa menace de procès si les conditions suivantes étaient remplies
    • Renonciation au recours pour atteinte à la marque Bundler
    • Renonciation au recours pour violation du droit du travail
    • Accord de non-dénigrement s’appliquant uniquement à Arko, et non à Ruby Central
  • Parmi les nouvelles conditions, Ruby Central proposait de recommander au FBI de ne pas engager de poursuites pénales et, si une enquête ou des poursuites démarraient, de ne coopérer que dans la mesure exigée par la loi
  • Arko affirme ne pas avoir pu accepter, car plusieurs lois étatiques et fédérales peuvent considérer comme un crime un accord limitant la coopération à une enquête pénale

Contre-proposition conditionnée à des excuses

  • Ruby Central ne pouvait pas retirer le signalement au FBI, ne pouvait pas récupérer les dépôts déjà transférés et, faute de fonds, pouvait difficilement verser une indemnisation
  • Arko a envoyé une contre-proposition dans laquelle il acceptait de renoncer à ses droits et à ses recours en droit du travail aux conditions suivantes
    • Retrait de la menace de procès par Ruby Central
    • Excuses pour l’avoir publiquement accusé, sans preuve, d’avoir causé un préjudice à RubyGems.org
    • Excuses pour l’accusation selon laquelle il aurait tenté d’obtenir des PII d’utilisateurs
    • Excuses pour avoir démantelé la gouvernance de Bundler et RubyGems afin de procéder à la prise de contrôle
  • Ruby Central ne s’est pas opposée à la demande d’excuses, mais a maintenu une clause de non-dénigrement qui ne s’appliquait qu’à Arko, et non à l’organisation
  • Après cette contre-proposition, il n’y a eu aucune réponse pendant 30 jours, et la promesse de l’avocat de fournir un calendrier de réponse sous une journée n’a pas été tenue

Des questions subsistent malgré les explications publiques

  • Ruby Central n’a pas reconnu ni présenté d’excuses pour avoir exclu des mainteneurs actifs depuis plus de 10 ans des projets
  • La seule raison publiquement invoquée pour la prise de contrôle était l’« amélioration de la sécurité »
  • Arko répond qu’après avoir écarté toutes les personnes expertes capables de mener une prise de contrôle de sécurité sans risque, Ruby Central l’a accusé de piratage alors qu’il avait divulgué de façon responsable une faille de sécurité du système
  • Ruby Central a mené trois audits distincts, mais selon Arko, aucune preuve de préjudice n’a été trouvée
  • Le Fracture Incident Report de Ruby Central visait à « clore » l’affaire, mais ne répond pas aux questions suivantes
    • Quelles mesures le conseil a-t-il réellement soumises au vote ?
    • Qu’espérait-on obtenir avec la prise de contrôle ?
    • Pourquoi viser Arko personnellement, et pas les autres mainteneurs ?
    • Pourquoi cela a-t-il immédiatement conduit à des menaces de procès ?
    • Pourquoi avoir impliqué le FBI sans preuve de préjudice ?
  • L’ancienne Executive Director Shan Cureton a publiquement laissé entendre que la communauté n’avait pas besoin de connaître toute l’histoire, et l’organisation continue de refuser d’en révéler les causes depuis son départ

La communauté que Ruby Central avait créée

  • Les conférences de Ruby Central ont été ce qui a amené Arko à participer à la communauté Ruby et à y contribuer durablement
  • À RubyConf San Diego en 2005, il a vécu les moments suivants
    • La présentation de Matz proposant la syntaxe -> « stabby lambda »
    • La présentation call_cc de Jim Weirich, qui démontrait les continuations avec une Nintendo 64 et The Legend of Zelda: Ocarina of Time
    • L’équipe cœur de Rails préparant la sortie de Rails 1.0 en décembre de la même année
    • Des relations nouées via IRC Freenode et des participants de l’UCSD, qui durent depuis plus de 20 ans
  • Il a obtenu son premier emploi à temps plein grâce à la proposition d’une personne rencontrée lors de la première RailsConf en 2006
  • Ces expériences ont conduit aux activités suivantes
    • Développement et lancement de Bundler 1.0 en 2009
    • Maintenance de Bundler pendant 15 ans
    • Travail sur RubyGems et RubyGems.org pendant plus de 10 ans
    • Création et gestion de l’organisation à but non lucratif Ruby Together pendant 7 ans
  • La fusion de Ruby Together et Ruby Central avait été décidée sur la base de la confiance dans le bilan de Ruby Central entre 2001 et 2021 en matière de conférences et d’animation de communauté

Construire un nouvel écosystème par une gouvernance ouverte

  • Pour la première fois en 25 ans d’histoire, Ruby Central n’a aucune conférence prévue, et ce conflit a affaibli la gouvernance communautaire qu’elle cherchait à renforcer
  • Les mainteneurs ont été exclus de projets qu’ils avaient fait grandir pendant longtemps, sans qu’aucune raison concrète ni aucun avantage réel justifiant ce résultat n’aient été rendus publics
  • La communauté Ruby peut créer elle-même de nouveaux projets et de nouvelles organisations
  • Plutôt que de tenter de restaurer les anciennes conférences Ruby Central et Ruby Together, il faut reconstruire l’avenir de Ruby autour d’une gouvernance ouverte et de nouveaux outils

À lire aussi

1 commentaires

 
GN⁺ 5 시간 전
Avis sur Lobste.rs

  • J’ai été surpris d’apprendre que la RubyConf 2005 se tenait tout près, à San Diego, et j’y suis allé avec mes deux seuls amis qui aimaient la programmation ; la personne mentionnée dans l’article, c’est moi
    Je n’utilise plus Ruby depuis que j’ai quitté mon poste de développeur Ruby en 2009, mais cette conférence reste un bon souvenir, et je regrette que la réaction de Ruby Central aux récents événements ait été aussi mauvaise

    • Si l’on n’écoute pas qu’un seul camp, la situation peut paraître un peu moins grave
      Sur Reddit, l’idée fausse selon laquelle Ruby Central aurait déclenché un signalement au FBI s’est répandue, mais en réalité, c’est un expert juridique qui, sans consulter Ruby Central, a évalué les faits de manière indépendante et fait le signalement
      Même si j’avais alors siégé au comité open source, je n’aurais pas pu l’empêcher, et personne chez Ruby Central n’avait le pouvoir de l’arrêter
      Le signalement disait en substance que « Ruby Central a perdu le contrôle de son infrastructure AWS pendant X jours » ; une fois déposé, il pouvait être retiré, mais ce n’était pas une plainte formelle
      Ruby Central a beaucoup à apprendre et à améliorer, mais il est aussi important de relater précisément la situation et les événements

  • Je pense qu’Andre cherchait depuis bien plus longtemps à prendre le contrôle de RubyGems, Bundler et RubyGems.org de façon discrète et progressive
    Le rapport d’incident suivant ne l’affirme pas explicitement, mais va dans ce sens : https://rubycentral.org/news/rubygems-fracture-incident-report/
    Le fait qu’en février 2025 Andre ait retiré l’accès GitHub d’Evan Phoenix sans même désigner de remplaçant côté Ruby Central, et en écartant le responsable open source, était sans précédent
    Il aurait aussi dû transférer les droits d’administration 1Password au responsable open source, mais même après la passation du poste, il a conservé les droits d’administration du compte 1Password secondaire
    Résultat : Andre a pu prendre le contrôle du compte AWS, supprimer tous les autres administrateurs et verrouiller l’accès de Ruby Central à l’environnement de production ; une seule personne ne devrait pas pouvoir exclure le responsable open source à la fois d’AWS et de 1Password
    Il a également présenté à la communauté de façon mensongère le lien entre l’accès GitHub et les droits d’administration de l’environnement de production, a maintenu cette explication pendant des mois après la perte des accès et continue encore aujourd’hui à minimiser le risque de sécurité, alors même que Ruby Central a tenté, sans succès, de lui retirer complètement ses droits opérationnels
    Si Ruby Central avait été traité comme une partie prenante légitime et avait reçu correctement les droits nécessaires à l’exploitation de RubyGems.org, il n’aurait pas été nécessaire d’aller jusqu’à une prise de contrôle hostile, ni d’écarter Andre
    Les conflits d’intérêts sont extrêmement importants, et le responsable open source ne devrait pas siéger au comité qui supervise son propre financement
    Quand Andre a fusionné Ruby Together avec Ruby Central, le fait qu’il soit membre du comité open source chargé de superviser les fonds qui lui étaient versés n’était ni professionnel ni éthique
    Je salue le fait qu’il ait ouvert la voie à la rémunération du travail open source, mais j’estime qu’il n’a pas correctement accompli le travail essentiel consistant à définir clairement la frontière entre travail rémunéré et travail bénévole, et à éviter qu’elle ne devienne floue
    Sur d’autres points, notamment juridiques, beaucoup de passages ne sont au mieux qu’à moitié vrais, mais je ne suis ni membre du conseil d’administration ni avocat, et comme je suis en vacances en famille, il est probable que je ne puisse pas répondre davantage