Las personas que sostienen internet revelan cómo la infraestructura digital crítica depende de remarquablemente pocos mantenedores. La base de datos de zona horaria, que regula la configuración de relojes para aproximadamente 4 mil millones de dispositivos Android y iPhone, es mantenida por Paul Eggert, profesor de UCLA que trabaja en ella en su tiempo libre. En el año previo a la versión 2026e publicada el 29 de septiembre de 2026, Eggert autorizó la mayoría de los cambios totales, con Tim Parenti contribuyendo algunos. Del mismo modo, Todd Miller ha mantenido sudo - el comando que otorga acceso administrativo en sistemas Mac y Linux - desde principios de los años 1990, autorizando la mayor parte de los cambios entre 2008 y 2018. SQLite, presente en cada teléfono Android, iPhone, sistemas Mac, Windows y principales navegadores, fue modificado por solo cuatro personas en el último año.
El artículo señala que Eggert autorizó la mayoría de los cambios a la base de datos de zona horaria en el año previo a la versión 2026e, resaltando la dependencia de un solo voluntario.
Este patrón de equipos de mantenimiento mínimos creó vulnerabilidades explotadas en el incidente de la herramienta de compresión xz. Lasse Collin, un desarrollador voluntario que vive en Finlandia, había mantenido xz durante años hasta conceder acceso al colaborador Jia Tan en 2023. Para ese año, Jia Tan estaba realizando más cambios que Collin. En febrero de 2024, Jia Tan lanzó versiones que contenían una puerta trasera oculta en sistemas Linux, la cual pasó desapercibida hasta que el ingeniero de Microsoft Andres Freund la descubrió el 29 de marzo de 2024 debido a un uso inusual del procesador. Tras el descubrimiento, Collin retomó el mantenimiento exclusivo y escribió la mayor parte de los cambios de xz en 2025. El incidente destaca cómo la dependencia de un pequeño número de voluntarios puede abrir riesgos en la cadena de suministro cuando la confianza se mal place.
Esta metáfora visual coincide con la discusión del artículo sobre cómo la dependencia de un pequeño número de voluntarios puede abrir riesgos en la cadena de suministro cuando la confianza se mal coloca, como se vio en el incidente de xz.
Las disparidades de financiación y apoyo resaltan aún más la fragilidad de este modelo de mantenimiento. Mientras que la Agencia de Tecnología Soberana de Alemania ha otorgado subvenciones a log4j, FFmpeg, OpenSSL, OpenSSH y curl desde 2022, proyectos como la base de datos de zona horaria, SQLite, zlib, libxml2, libjpeg-turbo, HarfBuzz, xz, bash, nghttp2 y expat no han recibido subvenciones públicas identificables. Este contraste se refleja en GitHub Sponsors, donde Daniel Stenberg ha atraído patrocinadores para curl mientras que los mantenedores de la base de datos de zona horaria, xz, libjpeg-turbo y zlib carecen completamente de páginas de patrocinio. Incluso cuando existe financiación, como en la transición de libxml2 tras la salida de su mantenedor Nick Wellnhofer en septiembre de 2025 a los voluntarios Daniel Garcia Moreno y Iván Chavero que asumieron en diciembre de 2025, la infraestructura que sirve a 5.600 millones de teléfonos y computadoras experimentó un período de 85 días sin mantenimiento dedicado.
El artículo cita curl como ejemplo de un proyecto que recibió financiación pública, mientras que muchos proyectos críticos de infraestructura como la base de datos de zona horaria, xz, libjpeg-turbo y zlib carecen de dicho apoyo.