- Setelah mengambil alih kendali atas RubyGems, Bundler, dan RubyGems.org, dalam 10 bulan Ruby Central kehilangan 2 konferensi, 2 proyek OSS utama, dan 9 kontributor, serta gagal menyelesaikan sengketa
- Tanpa menerima proposal kesepakatan dari para maintainer sebelumnya, mereka berulang kali menetapkan syarat bahwa ancaman gugatan akan dicabut hanya jika André Arko melepaskan klaim terkait hak Bundler dan hukum ketenagakerjaan
- Pengacara Ruby Central melaporkan Arko ke FBI pada Maret 2026, tetapi menurut Arko, tiga kali audit tidak menemukan bukti bahwa dirinya merugikan RubyGems.org
- Saat ini Ruby Central menjalankan proyek keamanan yang didukung Alpha-Omega dan Ruby Alliance, tetapi Arko mempermasalahkan konflik kepentingan yang tidak diungkapkan antara sponsor Gusto·Thoughtbot dan anggota dewan
- Untuk memulihkan kepercayaan, ia mengusulkan agar komunitas tidak sekadar mengembalikan organisasi lama, melainkan membangun organisasi dengan proyek yang dioperasikan secara terbuka seperti gem.coop, tool baru, dan dewan yang dipilih komunitas
Ruby Central sebelum dan sesudah pengambilalihan kendali
- Sekitar 18 bulan lalu, Ruby Central setiap tahun menyelenggarakan RubyConf dan RailsConf
- Open Source Committee terdiri dari 3 orang, Ufuk, Gabi, dan Mike, yang mendukung serta mengoordinasikan tenaga OSS
- 7 kontributor komunitas paruh waktu: André, Arun, Ellen, Gift, Irene, Josef, Martin
- 3 developer OSS purnawaktu: Colby, Samuel, David
- Proyek sasaran: RubyGems, Bundler, RubyGems.org
- Sekitar 10 bulan lalu terjadi insiden yang oleh Ellen Dash dari tim inti RubyGems disebut sebagai “pengambilalihan bermusuhan”, dan tim yang telah mengelola proyek selama lebih dari 10 tahun kehilangan akses
Kapabilitas organisasi yang hilang dalam 10 bulan
- Kedua konferensi kini tidak memiliki jadwal mendatang
- RailsConf dihentikan
- Sebagian besar RubyConf terakhir dibatalkan
- Untuk pertama kalinya dalam puluhan tahun, lokasi dan tanggal konferensi berikutnya tidak diumumkan
- Dari 3 proyek OSS utama, 2 hilang, dan Bundler serta RubyGems dipindahkan kepada Matz
- 9 dari 10 kontributor OSS pergi
- 6 dari 7 operator RubyGems.org
- 2 dari 3 kontributor OSS purnawaktu
- Semua 2 orang yang menangani tulisan terkait OSS
- Semua 3 anggota Open Source Committee, 5 dari 7 direktur, dan semua 3 Executive Director meninggalkan posisi mereka
- Sponsor finansial utama Sidekiq dan Shopify juga pergi, tetapi Shopify kembali bergabung dengan Ruby Alliance 9 bulan kemudian
Struktur dewan tanpa pemilihan
- Berbeda dengan Python Software Foundation, Ruby Central tidak mengadakan pemilihan direktur
- Anggaran dasar telah direvisi secara menyeluruh tahun ini, tetapi direktur baru tetap ditunjuk hanya oleh direktur yang sudah ada dan tidak ada proses pengumpulan masukan publik
- Dewan saat ini terdiri dari 2 orang yang tersisa dari 7 direktur lama yang menyetujui pengambilalihan, serta 3 direktur baru—Brandon, Jey, dan Ran—yang dipilih oleh dewan sebelumnya
Proyek keamanan baru dan Ruby Alliance
- Setelah mengakhiri dua konferensi dan memindahkan separuh OSS, satu-satunya program yang ditambahkan secara publik adalah proyek keamanan yang dijalankan dengan hibah Alpha-Omega
- Proyek ini menggunakan Project Glasswing dari Anthropic untuk menemukan masalah keamanan pada gem yang sudah didistribusikan
- Laporan bulanan pertama pada Juni 2026 melaporkan 5 kerentanan
- 1 dengan tingkat keparahan sedang
- 4 dengan tingkat keparahan rendah atau belum diklasifikasikan
- Ruby Alliance diikuti oleh Gusto, Thoughtbot, dan Shopify
- Arko mempermasalahkan potensi konflik kepentingan yang tidak tercantum dalam pengumuman sponsor
- Direktur David Corson-Knowles adalah Senior Staff Engineer di Gusto
- Ketua dewan Ran Craycraft adalah Managing Director, Americas di Thoughtbot
- Strukturnya adalah para direktur yang mengalokasikan dana sponsor menerima dana sponsor dari perusahaan yang mempekerjakan mereka
- Shopify kembali setelah 9 bulan, dan Arko mengutip laporan eksternal bahwa saat itu Shopify meminta Ruby Central melakukan pengambilalihan
Sengketa Bundler·RubyGems yang belum terselesaikan
- Sejak Oktober 2025, Ruby Central mengancam akan mengajukan gugatan terhadap Arko dan tidak mencabutnya
- Sengketa dimulai ketika Ruby Central mengambil proyek GitHub Bundler dan RubyGems dari maintainer sebelumnya pada September 2025
- Ketika Arko memberi tahu bahwa dirinya memiliki hak atas nama Bundler, Ruby Central memperingatkan gugatan dengan alasan yang disebut “peretasan”
- Arko terus membantah klaim peretasan tersebut
- Ruby Central mempertahankan posisi bahwa ancaman gugatan hanya akan dicabut jika klaim berikut dilepaskan
- Klaim pelanggaran atas nama Bundler
- Kemungkinan bahwa pekerjaan kontraktor melanggar hukum ketenagakerjaan negara bagian dan klaim kompensasi yang belum dibayar
Upaya kesepakatan setelah pemindahan proyek
- Meski ada ancaman gugatan, ketika Arko tidak melepaskan klaim, Ruby Central menyerahkan gem Bundler dan repositori GitHub RubyGems kepada Matz
- Para maintainer sebelumnya mengusulkan proposal kesepakatan baru, tetapi Ruby Central tidak menjawab
- Sebagai gantinya, mereka mengulang syarat lama bahwa ancaman gugatan akan dicabut jika Arko seorang diri melepaskan semua klaim
- Setelah tidak ada kemajuan selama 4 bulan, Arko memublikasikan perkembangan secara terbuka
Estimasi sekitar 450 ribu dolar dan tuntutan yang sebenarnya
- Ruby Central meminta Arko menghitung jumlahnya, dengan mengatakan akan membayar dana penyelesaian memakai pendanaan eksternal
- Ruang lingkup permintaan mencakup biaya pengacara, kemungkinan jumlah yang tertunggak, dan kompensasi 6 bulan setelah pemutusan; angka yang dihitung dengan bantuan ahli adalah sekitar 450 ribu dolar
- Arko menyatakan bahwa ia tidak menuntut langsung jumlah tersebut, melainkan memberikannya sesuai permintaan Ruby Central untuk penggalangan dana
- Syarat yang sebenarnya terus ia tuntut hanya dua hal
- Permintaan maaf karena menyerang reputasinya tanpa bukti
- Penggantian biaya pengacara yang jauh lebih kecil daripada 450 ribu dolar
Laporan ke FBI dan kemungkinan investigasi pidana
- Bersamaan dengan mencari dana penyelesaian, pengacara Ruby Central melaporkan Arko ke FBI dan meminta investigasi pidana
- Pada 9 Maret 2026, pengacara tersebut memberi tahu pengacara Arko tentang laporan itu, dan menyampaikan bahwa Arko mungkin membutuhkan pengacara spesialis pidana
- Menurut Arko, akun AWS RubyGems telah diaudit tiga kali, tetapi tidak ditemukan bukti bahwa dirinya menyebabkan kerugian
- Laporan ke FBI tidak dapat dicabut, sehingga meski Ruby Central menyatakan tidak lagi berniat melanjutkannya, keputusan apakah investigasi dilakukan berada di tangan FBI
Proposal penyelesaian minimum setelah dana habis
- Beberapa minggu setelah laporan ke FBI, Ruby Central mengumumkan bahwa dananya telah habis
- Arko melihatnya sebagai sinyal positif dan mengajukan solusi baru
- Dalam proposal ini, ia tidak meminta pengembalian Bundler, kompensasi berdasarkan hukum ketenagakerjaan, atau permintaan maaf
- Konfirmasi publik bahwa ia tidak merugikan RubyGems
- Penggantian biaya pengacara yang muncul akibat ancaman gugatan
- Ruby Central tidak menjawab selama 6 minggu terhadap proposal tersebut dan beberapa kali kontak
Klausul non-pencemaran nama baik yang hanya berlaku satu pihak
- Setelah 6 minggu, Ruby Central kembali menyampaikan proposal bahwa ancaman gugatan akan dicabut jika syarat berikut dipenuhi
- Melepaskan klaim pelanggaran merek dagang Bundler
- Melepaskan klaim pelanggaran hukum ketenagakerjaan
- Kesepakatan non-pencemaran nama baik yang hanya berlaku bagi Arko dan tidak berlaku bagi Ruby Central
- Sebagai syarat baru, mereka menawarkan untuk merekomendasikan FBI agar tidak mengajukan dakwaan pidana, dan jika investigasi atau dakwaan dimulai, mereka hanya akan bekerja sama sejauh diwajibkan hukum
- Arko menyatakan ia tidak dapat menerima ini karena berbagai undang-undang negara bagian dan federal dapat menganggap kesepakatan yang membatasi kerja sama dalam investigasi pidana itu sendiri sebagai tindak pidana
Tawaran balasan dengan permintaan maaf sebagai syarat
- Ruby Central berada dalam situasi tidak dapat mencabut laporan ke FBI, tidak dapat mengembalikan repositori yang sudah diserahkan, dan tidak memiliki dana sehingga sulit memberi kompensasi
- Arko mengirim tawaran balasan bahwa ia akan melepaskan klaim hak dan hukum ketenagakerjaan dengan syarat berikut
- Ruby Central mencabut ancaman gugatan
- Permintaan maaf karena secara publik menuduhnya merugikan RubyGems.org tanpa bukti
- Permintaan maaf atas tuduhan bahwa ia mencoba mendapatkan PII pengguna
- Permintaan maaf karena meruntuhkan tata kelola Bundler·RubyGems demi pengambilalihan
- Ruby Central tidak menolak tuntutan permintaan maaf, tetapi tetap mempertahankan klausul non-pencemaran nama baik yang hanya berlaku bagi Arko dan tidak berlaku bagi organisasi
- Setelah tawaran balasan, tidak ada jawaban selama 30 hari, dan janji pengacara untuk memberikan jadwal jawaban dalam sehari juga tidak ditepati
Pertanyaan yang tersisa meski ada penjelasan publik
- Ruby Central tidak mengakui atau meminta maaf bahwa menyingkirkan maintainer yang telah aktif selama lebih dari 10 tahun dari proyek adalah kesalahan
- Satu-satunya alasan pengambilalihan yang diumumkan secara publik adalah “meningkatkan keamanan”
- Arko membantah bahwa setelah menyingkirkan semua ahli yang mampu menjalankan pengambilalihan keamanan dengan aman, mereka menuduhnya melakukan peretasan karena ia secara bertanggung jawab mengungkap kegagalan keamanan sistem
- Ruby Central melakukan tiga audit terpisah, tetapi menurut Arko tidak menemukan bukti kerugian
- Fracture Incident Report dari Ruby Central dimaksudkan untuk “menutup” perkara, tetapi tidak menjawab pertanyaan berikut
- Tindakan apa yang sebenarnya diputuskan melalui pemungutan suara oleh dewan
- Apa yang ingin dicapai melalui pengambilalihan
- Mengapa hanya Arko secara pribadi yang menjadi sasaran, sementara maintainer lain tidak
- Mengapa hal itu segera berujung pada ancaman gugatan
- Mengapa FBI dilibatkan tanpa bukti kerugian
- Mantan Executive Director Shan Cureton menyatakan secara publik bahwa komunitas tidak perlu mengetahui keseluruhan kejadian, dan organisasi tetap menolak mengungkap penyebabnya setelah ia mundur
Komunitas yang pernah dibangun Ruby Central
- Konferensi Ruby Central adalah pintu masuk bagi Arko untuk berpartisipasi dan berkontribusi jangka panjang di komunitas Ruby
- Pada San Diego RubyConf 2005, ia mengalami hal-hal berikut
- Presentasi Matz yang mengusulkan sintaks
->“stabby lambda” - Presentasi
call_ccoleh Jim Weirich yang mendemonstrasikan continuation dengan Nintendo 64 dan The Legend of Zelda: Ocarina of Time - Tim inti Rails yang sedang bersiap merilis Rails 1.0 pada Desember tahun itu
- Relasi yang terjalin lebih dari 20 tahun melalui Freenode IRC dan peserta UCSD
- Presentasi Matz yang mengusulkan sintaks
- Ia mendapatkan pekerjaan penuh waktu pertamanya melalui rekomendasi seseorang yang ditemuinya di RailsConf pertama pada 2006
- Pengalaman ini berlanjut ke aktivitas berikut
- Pengembangan dan rilis Bundler 1.0 pada 2009
- Pemeliharaan Bundler selama 15 tahun
- Pekerjaan pada RubyGems dan RubyGems.org selama lebih dari 10 tahun
- Pendirian dan pengoperasian organisasi nirlaba Ruby Together selama 7 tahun
- Penggabungan Ruby Together dan Ruby Central diputuskan karena percaya pada rekam jejak Ruby Central dalam menyelenggarakan konferensi dan mengelola komunitas sepanjang 2001–2021
Membangun ekosistem baru dengan tata kelola terbuka
- Untuk pertama kalinya dalam sejarah 25 tahunnya, Ruby Central tidak memiliki satu pun konferensi terjadwal, dan sengketa ini justru merusak tata kelola komunitas yang ingin diperkuat
- Para maintainer disingkirkan dari proyek yang telah mereka besarkan lama, dan alasan konkret maupun manfaat nyata yang membenarkan dampaknya juga tidak diungkapkan
- Komunitas Ruby dapat membangun sendiri proyek dan organisasi baru
- Tata kelola yang dioperasikan secara terbuka oleh maintainer, seperti gem.coop
- rv dan Ruby Butler yang meningkatkan pengalaman menggunakan Ruby
- Organisasi yang komunitasnya memilih direktur, seperti dewan Python Software Foundation
- Alih-alih berusaha memulihkan konferensi Ruby Central dan Ruby Together masa lalu, masa depan Ruby harus dibangun kembali dengan berpusat pada tata kelola terbuka dan tool baru
1 komentar
Komentar Lobste.rs
Saya kaget mengetahui RubyConf 2005 diadakan di San Diego yang dekat, lalu datang bersama dua teman satu-satunya yang sama-sama suka pemrograman; orang yang disebut di tulisan itu memang saya
Sejak meninggalkan pekerjaan pengembangan Ruby pada 2009 saya sudah tidak memakai Ruby, tetapi konferensi saat itu tetap menjadi kenangan yang baik, dan saya menyesalkan respons Ruby Central terhadap kejadian terbaru ternyata seburuk ini
Di Reddit sempat tersebar salah paham bahwa Ruby Central yang memulai pelaporan ke FBI, tetapi sebenarnya seorang ahli hukum, tanpa berkonsultasi dengan Ruby Central, menilai fakta-faktanya secara independen lalu melaporkannya
Bahkan jika saat itu saya ada di komite open source, saya juga tidak akan bisa mencegahnya, dan tidak ada seorang pun di Ruby Central yang punya wewenang untuk menghentikannya
Isi laporannya kira-kira seperti “Ruby Central kehilangan kendali atas infrastruktur AWS selama X hari”, dan setelah diterima memang bisa dicabut, tetapi itu bukan pengaduan resmi
Ada banyak hal yang perlu dipelajari dan diperbaiki Ruby Central, tetapi menyampaikan situasi dan kejadian secara akurat juga penting
Saya menilai Andre sudah sejak lama berupaya mengambil alih RubyGems, Bundler, dan RubyGems.org secara diam-diam dan bertahap
Laporan insiden berikut tidak menyatakannya secara eksplisit, tetapi mendukung penilaian itu: https://rubycentral.org/news/rubygems-fracture-incident-report/
Tindakan Andre pada Februari 2025 mencabut akses GitHub Evan Phoenix tanpa ada penanggung jawab pengganti dari Ruby Central, sekaligus menyingkirkan pimpinan open source, belum pernah terjadi sebelumnya
Ia seharusnya juga menyerahkan hak admin 1Password kepada pimpinan open source, tetapi bahkan setelah jabatannya dialihkan, ia tetap mempertahankan hak admin pada akun 1Password cadangan
Akibatnya Andre bisa mengambil alih akun AWS, menghapus semua admin lain, dan mengunci Ruby Central dari lingkungan operasional; seharusnya tidak boleh ada satu orang yang bisa menyingkirkan pimpinan open source sekaligus dari AWS dan 1Password
Ia juga secara keliru memberi tahu komunitas tentang keterkaitan antara akses GitHub dan hak admin lingkungan operasional, tetap bersikukuh dengan penjelasan itu selama berbulan-bulan setelah kehilangan akses, dan bahkan setelah Ruby Central gagal mencabut sepenuhnya hak operasionalnya, sampai sekarang masih mengecilkan risiko keamanannya
Jika Ruby Central diperlakukan sebagai pemangku kepentingan yang semestinya dan benar-benar menerima hak yang diperlukan untuk mengoperasikan RubyGems.org, tidak perlu sampai terjadi pengambilalihan secara bermusuhan maupun menyingkirkan Andre
Konflik kepentingan sangat penting, dan pimpinan open source tidak seharusnya duduk di komite yang mengawasi pendanaan untuk dirinya sendiri
Struktur saat Andre menggabungkan Ruby Together ke Ruby Central, sambil menjadi anggota komite open source yang mengawasi dana yang dibayarkan kepadanya, tidak profesional maupun etis
Saya sangat menghargai bahwa ia membuka jalan bagi kerja open source berbayar, tetapi menurut saya ia gagal menjalankan tugas penting untuk mendefinisikan dengan jelas batas antara kerja berbayar dan kerja sukarela agar tidak kabur
Untuk hal-hal lain termasuk persoalan hukum, ada banyak bagian yang kalau bagus pun hanya setengah benar, tetapi saya bukan anggota dewan maupun pengacara, dan sedang liburan keluarga, jadi kemungkinan sulit memberi jawaban tambahan