- La Python Software Foundation (PSF) retiró una propuesta por 1.5 millones de dólares presentada ante la National Science Foundation (NSF) de Estados Unidos, cuyo objetivo era mejorar vulnerabilidades de seguridad en Python y PyPI
- Era la primera vez que postulaba al programa SAFE OSE (Safety, Security, and Privacy for Open-Source Ecosystems) de la NSF, pero surgió un problema con una cláusula que limitaba actividades de DEI (diversidad, equidad e inclusión) entre las condiciones para aceptar el subsidio
- Dicha cláusula se aplicaba a todas las actividades de la PSF, e incluía la posibilidad de recuperación de fondos ya desembolsados (claw back) en caso de incumplimiento, lo que suponía un alto riesgo financiero
- La PSF, en línea con su misión que define a DEI como un valor central, se negó a aceptar esas condiciones y decidió por unanimidad en la junta directiva retirar la propuesta
- Aunque esta decisión representa una carga para las finanzas de la PSF, se considera una elección para defender sus valores y los principios de su comunidad
Contexto y objetivo de la propuesta
- En enero de 2025, la PSF presentó una propuesta al programa SAFE OSE de la NSF con el objetivo de abordar vulnerabilidades estructurales de seguridad en Python y PyPI
- Fue el primer caso en que la PSF solicitó un subsidio gubernamental, en un proceso en el que un equipo pequeño fue aprendiendo procedimientos administrativos complejos
- La redacción de la propuesta estuvo liderada por Seth Larson (desarrollador de seguridad), con Loren Crary (subdirectora ejecutiva) como co-responsable
- La PSF consideró que la propuesta encajaba con los objetivos del programa y que, de ser aprobada, aportaría grandes beneficios a la comunidad, por lo que invirtió una cantidad importante de tiempo y esfuerzo
Aprobación de la propuesta y surgimiento del problema
- Tras varios meses de evaluación, la propuesta recibió una recomendación de financiamiento (recommended for funding), un caso poco común dado que solo el 36% de los nuevos solicitantes logra éxito en el primer intento
- Sin embargo, surgió un problema en las condiciones para aceptar el subsidio
- Entre ellas se incluía la frase: “no operar programas que promuevan DEI (diversidad, equidad e inclusión) o una ideología de igualdad discriminatoria”
- Esta cláusula se aplicaba no solo al proyecto de seguridad financiado por el subsidio, sino a todas las actividades de la PSF
- En caso de incumplimiento, la NSF podía recuperar fondos ya desembolsados (claw back), lo que podía generar un riesgo financiero ilimitado
Valores y misión de la PSF
- La PSF define a DEI como un valor central y lo expresa claramente en su declaración de misión
- Se establece como misión de la PSF “promover y proteger el lenguaje Python, y apoyar el crecimiento de una comunidad diversa e internacional”
- La PSF intentó aclarar la interpretación de estas condiciones mediante conversaciones con la NSF y revisó casos de organizaciones como The Carpentries, que pasaron por situaciones similares, pero concluyó que no podía aceptar condiciones que entraran en conflicto con sus valores
- Como resultado, la PSF mantuvo su postura de no suspender sus actividades de DEI y retiró la propuesta de subsidio
Contenido técnico del proyecto propuesto
- El proyecto propuesto buscaba desarrollar herramientas automatizadas de revisión previa para prevenir ataques a la cadena de suministro en PyPI
- Actualmente, PyPI opera solo con un sistema de revisión posterior, pero el sistema propuesto tendría una estructura para analizar previamente todos los paquetes subidos
- Estaba diseñado para detectar amenazas potenciales de forma temprana mediante análisis de capacidades (capability analysis) basado en conjuntos de datos de malware
- Esta tecnología podría aplicarse no solo a PyPI, sino también a otros registros de paquetes open source como NPM y Crates.io, por lo que tiene potencial para fortalecer la seguridad de todo el ecosistema open source
Impacto financiero y retos a futuro
- La PSF opera con un presupuesto anual de aproximadamente 5 millones de dólares y es una organización pequeña de 14 empleados
- Los 1.5 millones de dólares a dos años habrían sido el subsidio más grande en la historia de la PSF
- Sin embargo, la PSF priorizó la práctica de sus valores y el apoyo libre a la comunidad por encima del beneficio económico
- La junta directiva aprobó por unanimidad la decisión de retirar la propuesta
- A raíz de este retiro, la PSF enfrenta presión financiera en medio de inflación, menor patrocinio, desaceleración de la industria tecnológica e incertidumbre global
- La PSF pidió a miembros, donantes y patrocinadores corporativos apoyo continuo y mayor participación
- Las personas pueden apoyar la misión y las actividades de la PSF mediante afiliación, donaciones y participación en patrocinios
Conclusión
- La PSF optó por defender los valores de la organización y los principios de su comunidad por encima de la pérdida financiera
- Este caso se considera un precedente importante que muestra cómo las condiciones de los subsidios gubernamentales pueden afectar la autonomía y los valores de organizaciones open source
- La PSF planea seguir trabajando en una línea que combine el fortalecimiento de la seguridad del ecosistema Python y la promoción de la diversidad
1 comentarios
Comentarios en Hacker News
Muchos comentarios afirman que “DEI perjudica la meritocracia”, pero en realidad entienden mal cómo funcionan las iniciativas DEI
Según un tuit compartido por la responsable de diversidad de PyCon en 2016, la proporción de mujeres ponentes aumentó de 1% a 40%
Esto fue posible porque, aunque el proceso de evaluación fuera a ciegas, hubo acciones de alcance proactivo para diversificar el propio grupo de postulantes
El mundo no funciona solo con mérito puro. El “sentido de pertenencia” o la “sensación de haber sido invitado” influyen mucho en los resultados
PSF podría abandonar ese tipo de alcance y limitarse a mantener el estado actual, pero yo espero que evolucione hacia una comunidad más diversa e inclusiva
Pero en la práctica, también se abusa de políticas DEI centradas en métricas, como “este trimestre solo se puede contratar a candidatos diversos”
Se cita este documento judicial como evidencia de que esos casos existen realmente
Los sistemas importantes al final funcionan gracias a la capacidad
Ningún argumento lógico cambia ese hecho
Creo que DEI es, en esencia, una forma de discriminación
De hecho, he vivido la experiencia de que me negaran oportunidades educativas por mi sexo, y eso nunca puede justificarse
También soy escéptico ante la idea de que grupos diversos siempre produzcan mejores resultados
En la preparatoria dirigí un equipo de robótica e hice trabajo de alcance comunitario con el objetivo de lograr equidad en la educación STEM
Pero bajo las políticas DEI de la administración actual, ese tipo de actividad podría quedar expuesta a riesgo de demandas
Es lamentable que el gobierno decida arbitrariamente “quién está del lado correcto”
Este tipo de enfoque binario más bien provoca rechazo y división
Se necesitan programas de apoyo enfocados en las necesidades individuales y el deseo de crecer, no en el sexo o la raza
Una universidad en Suecia logró su meta de igualdad de género en áreas técnicas y ahora intenta corregir el desequilibrio en biología y química
Ojalá ese cambio lleve a un verdadero coraje moral
Uno se pregunta por qué no existen apoyos para quienes no pueden aprender a programar por su situación económica
cronyism)Desde el punto de vista legal, esta cláusula no parece prohibir DEI como tal, sino solo las actividades DEI que constituyan una violación de la ley federal
Pero en la práctica cuesta confiar, porque ya ha habido casos en que el gobierno intenta presionar a organizaciones relacionadas con DEI o retirarles fondos incluso cuando no hay violación legal
La puntuación está mal usada, así que es posible interpretarla como un intento deliberado del gobierno de prohibir DEI en su totalidad
De hecho, la administración actual considera ilegal a DEI en sí mismo
clawback)Si ya gastaste 1.5 millones de dólares en investigación y luego te exigen devolverlos, eso puede llevarte a la ruina financiera
Al final, esta cláusula corre el riesgo de convertir una subvención en deuda
La expresión “discriminatory equity ideology” parece un neologismo creado para ocultar esa contradicción
Creo que el hecho de que PSF rechazara estas condiciones fue una decisión de llevar sus convicciones a la práctica
Ojalá esta oportunidad sirva para que grandes empresas como Google, AWS y Microsoft apoyen con fondos de contrapartida
Ya eliminaron sus programas DEI para mantener buenas relaciones con la administración
Al final, está claro por qué actúan con tanta cautela frente a la administración
De todos modos, es muy probable que más adelante intenten recuperar los fondos
Da pena que se hayan desperdiciado meses de esfuerzo escribiendo una propuesta para la NSF
Este caso es una señal de alarma para la investigación científica en general, no solo para la PSF
El financiamiento de investigación con condiciones políticas termina perjudicando a todos a largo plazo
Organizaciones como la PSF no pueden cargar con este riesgo político indefinido
Que el financiamiento científico en EE. UU. se esté politizando es un problema grave
Las solicitudes al DOE también tenían requisitos DEI, y ojalá toda esta intervención política disminuya
Los investigadores han tenido que modificar propuestas usando palabras como “diferencia” en vez de “sexo”
La mayoría responde con algo como “cumplimos en la forma, pero la investigación real sigue igual”
Además, el gobierno ni siquiera tiene personal suficiente para vigilar cada caso
La junta directiva de la PSF dijo que rechazó la subvención por el riesgo de recuperación de fondos
Envío respeto y apoyo a la junta que tomó esta decisión
1.5 millones de dólares es una cantidad demasiado pequeña comparada con el valor que PyPI aporta al sector financiero
Bastaría con que unas cuantas grandes empresas contribuyeran un poco para hacer una gran diferencia
Tengo curiosidad por ver cómo evoluciona esto
El apoyo real es mínimo, y muchas veces solo se asigna a proyectos que cumplen una checklist DEI
Si no hay beneficio económico, las empresas no muestran interés en el apoyo al bien público
En una estructura donde las ganancias van antes que la ética, este resultado es inevitable
La interpretación legal de la frase “no promoveremos DEI ni una ideología discriminatoria de equidad en formas que violen la ley federal” es ambigua
En la práctica no está claro a qué parte se aplica exactamente “violen la ley”
Pero como la EO 14151 define a DEI en sí mismo como ilegal, la intención política importa más que la gramática
Si la administración quiere, puede convertir cualquier cláusula en un arma política
Si la PSF hubiera aceptado el dinero, quizá habría estado más segura entregándole la mitad a Trump
Es una situación contradictoria en la que el gobierno dice proteger la libertad de expresión mientras en realidad refuerza la censura
La redacción de la cláusula deja como punto central si “violación de la ley federal” se aplica o no a toda la oración
Si fuera así, entonces mientras DEI no sea ilegal por sí mismo, tal vez no habría problema
Pero en la práctica el riesgo legal es demasiado grande como para aceptarlo
Permite recuperar el monto total en caso de violación de la ley federal o de un boicot prohibido (especialmente relacionado con Israel)
Sería una lástima si la PSF hubiera tomado la decisión sin asesoría legal
Por eso se lee como una exigencia de aceptar la interpretación de que DEI constituye una violación legal
En el blog de la PSF se explica en detalle para qué proyecto se iba a usar originalmente la subvención rechazada
Si quieres apoyar directamente el fortalecimiento de la seguridad del ecosistema Python, puedes consultar la página de donaciones o la solicitud de patrocinio