Cal.com, møteplanleggingsverktøyet med over 30 000 GitHub-stjerner, stenger kildekoden sin. I et blogginnlegg forklarer selskapet at KI-drevne sikkerhetsverktøy har gjort det umulig å holde kodebasen åpen uten å utsette kundedata for risiko.
Prosjektet har vært open source siden oppstarten for fem år siden, og den åpne lisensmodellen har vært sentral for merkevaren. Men ifølge Cal.com har trusselandskapet endret seg fundamentalt: KI kan nå pekes mot en åpen kodebase og systematisk avdekke sårbarheter som menneskelige sikkerhetstestere aldri ville funnet manuelt. Flere KI-sikkerhetsstartups har allerede produktifisert denne evnen.
«Å være open source er i økende grad som å gi angripere plantegningene til hvelvet» — Cal.com
Selskapet trekker frem et konkret eksempel: en KI-modell avdekket nylig en 27 år gammel sårbarhet i BSD-kjernen og genererte fungerende exploits på bare timer. Når KI kan finne hull i en av de mest gjennomgåtte kodebasene i verden, er argumentet at mindre prosjekter er enda mer utsatt.
Debatten i utviklermiljøet er delt. Kritikere påpeker at «security through obscurity» er et svakt argument: lukket kode hindrer ikke motiverte angripere, men fjerner muligheten for fellesskapet til å oppdage og rapportere feil. Tilhengere mener Cal.com gjør et pragmatisk valg i en virkelighet der KI senker terskelen for å utnytte sårbarheter dramatisk.
Cal.com lanserer Cal.diy som et MIT-lisensiert alternativ for hobbybrukere. Men produksjonskodebasen har allerede divergert betydelig, med store omskrivninger av autentisering og datahåndtering. Selvhostede installasjoner basert på den originale koden vil ikke lenger motta sikkerhetsoppdateringer.
«Vi håper at vi en dag kan gå tilbake til open source etter hvert som sikkerhetsbildet utvikler seg» — Cal.com
Beslutningen følger et bredere mønster. HashiCorp gikk fra MPL til BSL i 2023, Redis droppet BSD-lisensen i 2024, og nå Cal.com. Presset på åpne prosjekter øker, enten det handler om KI-kopiering, sikkerhet eller kommersiell bærekraft.
Hva bør du gjøre?
- Sjekk om du bruker Cal.com self-hosted, og planlegg i så fall migrering til Cal.diy eller den hostede versjonen
- Vurder KI-drevet sikkerhetsskanning av egne open source-prosjekter. Verktøyene angriperne bruker er tilgjengelige for forsvarere også
- Følg debatten om open source-bærekraft. Cal.com er neppe det siste prosjektet som gjør dette valget