MALUS - Clean Room as a Service para liberarte de las atribuciones de copyright del código abierto

• Un robot de IA reconstruye proyectos de código abierto de forma independiente para ofrecer código legalmente distinguible y una licencia amigable para empresas
• Sin ver el código original, analiza solo documentación, API y definiciones de tipos para reescribir software funcionalmente idéntico
• El resultado se distribuye bajo la licencia MalusCorp-0, sin obligación de atribución de copyright, publicación de código fuente ni compartir modificaciones
• Si el usuario sube una lista de dependencias como package.json, se genera una cotización automática con base en $0.01/KB por tamaño del paquete
• El objetivo es eliminar la carga de cumplir con licencias de código abierto y minimizar el riesgo legal de las empresas

---

Problemas del código abierto

• Señalan como una incomodidad la obligación de atribución de la Apache License, que exige incluir en la documentación frases como “Partes de este software…”
• La licencia AGPL implica el riesgo de tener que publicar todo el código aunque solo se use una parte, por lo que muchas empresas la prohíben
• El seguimiento y la auditoría de licencias para cientos de dependencias generan tiempo y costos
• Explican que algunas licencias exigen devolver las modificaciones a la comunidad, lo que entra en conflicto con el interés de los accionistas

Solución: Robot-Powered Clean Room Recreation

• Un sistema de reconstrucción clean room basado en IA analiza únicamente documentación y especificaciones de API sin ver en absoluto el código original
  • El robot de análisis y el robot de implementación operan como equipos aislados entre sí, de modo que no se produce copia ni obra derivada
• El resultado se considera código legalmente independiente, y el usuario lo posee por completo
• Características principales
  • Código escrito 100% por robots
  • 0% de exposición al código original
  • Resultado funcionalmente idéntico
  • Posibilidad de elegir una licencia amigable para empresas
  • Garantía de indemnidad legal (a nombre de una subsidiaria en el extranjero)

Proceso de Liberación

• Paso 1: subir el manifiesto
  • Sube una lista de dependencias como package.json, requirements.txt o Cargo.toml
• Paso 2: análisis aislado
  • El robot revisa solo el README, la documentación de la API y las definiciones de tipos
• Paso 3: reconstrucción independiente
  • Un equipo separado de robots vuelve a escribir el código con base en las especificaciones
• Paso 4: liberación de licencia
  • El resultado se entrega bajo la licencia MalusCorp-0
    • Se eliminan las obligaciones típicas del código abierto existente (atribución, compartir modificaciones, publicar el código fuente, etc.)
    • El usuario no tiene restricciones para modificar, distribuir o comercializar

Política de precios

• Cobro por tamaño: tamaño descomprimido del paquete (KB) en npm × $0.01
  • Pedido mínimo de $0.50
  • Ejemplos: lodash (1.3MB) → $13.78, moment (4.1MB) → $42.48
• Incluye
  • Reconstrucción clean room con IA y licencia MalusCorp-0
  • 10 documentos de especificación CSP
  • Se pueden pedir paquetes de hasta 10MB, con un máximo de 50 paquetes
  • Sin suscripción; pagas solo por lo que liberes

Garantía y casos

• MalusCorp Guarantee™: si ocurre una infracción, prometen reembolso total y trasladar la sede central (a aguas internacionales)
• Casos de éxito
  • Liberaron 847 dependencias AGPL en 3 semanas, con ‘0’ problemas de licencias durante un proceso de adquisición
  • Redujeron un costo estimado de 4 millones de dólares del equipo legal a 50 mil dólares
  • Reconstruyeron 2,341 paquetes de npm y el dashboard de compliance se normalizó de inmediato

Preguntas frecuentes

• Legalidad: se basa en precedentes legales de reconstrucción independiente sin ver el código original
• Compensación a desarrolladores originales: publicarlo como código abierto fue decisión suya, y no existe obligación de compensación adicional
• Diferencia con copiar: se implementa la misma funcionalidad de forma independiente; la intención y el proceso son distintos
• Si hay bugs: solo se garantiza equivalencia funcional; los bugs son responsabilidad del usuario
• Divulgación de los robots: la ubicación no se revela; solo clientes enterprise pueden visitar tras firmar un NDA
• Licencias soportadas: se pueden liberar todas las licencias, incluidas MIT, Apache, GPL, AGPL, LGPL, BSD y MPL

Pago y uso

• Procesamiento automático tras un pago seguro a través de Stripe
• La cotización es gratis; el pago admite USD, EUR, BTC y stock options
• El servicio cierra con la frase: “Con suficientes robots, las obligaciones del código abierto son solo una sugerencia”

[GN⁺]

Comentarios en Hacker News

• Al leer el blog de Malus.sh, encontré algo interesante. Es un problema que he sentido durante décadas, pero que el sistema legal todavía no ha sabido abordar. Es decir, el problema de que los costos de aplicación importan (costs matter)
  Por ejemplo, no basta con poner un letrero de límite de velocidad de 55 mph. Tener personas haciendo controles esporádicos y tener robots aplicándolo de forma perfecta son políticas completamente distintas. El texto de la ley es el mismo, pero la política real cambia por completo
  Antes, la ley era distinta de jure (nominalmente) y de facto (en la práctica), pero ahora la tecnología puede hacer que ambas coincidan. Sin embargo, nadie parece darse cuenta de lo grande que es ese cambio. Cuanto más fácil es aplicar una ley, más cambia por completo su significado. Durante siglos, las leyes se diseñaron bajo la premisa de que ‘hacerlas cumplir es difícil’, y automatizar eso ciegamente es una mala idea para todos
  Quizá algún día la jurisprudencia llegue a considerar el ‘costo de aplicación’ como parte del juicio de legalidad

  • Creo que deberíamos celebrar una aplicación más precisa de la ley. La aplicación imperfecta lleva a una fiscalización selectiva, y eso da a quienes hacen cumplir la ley el poder de cambiarla arbitrariamente. Pero cuanto más perfecta se vuelve la aplicación, también deben ajustarse las reglas y los castigos. Si no, habrá desorden social. La ley fue diseñada para cambiar lentamente, pero ahora quizá ya no pueda seguir el ritmo
  • Dean Ball mencionó este mismo tema en el show de Ezra Klein. Pensó que una aplicación perfecta traería justicia, pero sin un plan de transición (migration plan) no significa nada. La IA promete un gran futuro, pero el proceso de transición para llegar ahí es la parte más difícil
  • Este problema funciona en ambos sentidos. Muchas agencias gubernamentales tienen la obligación legal de responder solicitudes escritas de los ciudadanos, pero antes casi nadie escribía cartas. Ahora, gracias a los LLM, cualquiera puede redactar fácilmente cartas formales. Si aparece una IA que escriba automáticamente ‘cartas de queja’, los sistemas administrativos podrían colapsar
  • Si se revisa el artículo de Pamela Samuelson y Suzanne Scotchmer (PDF de Yale Law Journal), se ve que incluso el derecho de autor veía positivamente las vías indirectas que tenían un costo. Es decir, no consideraba deseables las evasiones totalmente gratuitas o automáticas. Es interesante que el sistema legal ya reconociera implícitamente la importancia del costo
  • Me gusta mucho esa perspectiva de que ‘el costo de aplicación importa’. Las leyes de los siglos XVIII y XIX se hicieron asumiendo una capacidad policial limitada, pero hoy la tecnología de vigilancia lo está cambiando todo. La aplicación perfecta trae consigo un costo de privacidad. Aun así, queda el contraargumento de que la aplicación automatizada podría reducir la injusticia de la fiscalización selectiva

• Al principio no me di cuenta de que esto era sátira. Pero pensándolo bien, parece que podría evolucionar hacia un modelo que devuelva ingresos a los desarrolladores de OSS. Por ejemplo, crear un “clean room as a service”, pero con una estructura en la que los ingresos vayan al autor original y no a Malus.sh. Todo el OSS pasaría a licencias como AGPL, y las empresas pagarían por implementaciones a medida. Me da curiosidad cuál sería el MVP de un sistema así

  • En realidad, este sitio no es sátira. Incluso acepta pagos con Stripe y de verdad genera código. Solo está envuelto en un lenguaje satírico
  • Si la propuesta iba en serio, eso ya podría hacerse con un esquema de doble licencia. Si era una broma, es divertida, pero si es en serio, quizá parte de un malentendido
  • El objetivo original del copyleft era proteger la libertad (freedom) del software. Proponer cerrar parte del código va directamente contra ese principio
  • Yo tampoco me di cuenta al principio de que era sátira, pero en cuanto vi los testimonios falsos al final del sitio, lo entendí enseguida. Frases como “liberamos 847 dependencias AGPL en 3 semanas” me hicieron reír muchísimo
  • Este modelo podría funcionar bastante bien. Los desarrolladores de OSS podrían concentrarse solo en desarrollar, sin preocuparse por ventas o consultoría. Ni siquiera haría falta patrocinio corporativo

• La frase “Me sentía culpable con los mantenedores de open source, pero la culpa no aparece en los resultados trimestrales” es demasiado realista.
  ◆ Chad Stockholder, director de ingeniería de Profit First LLC

  • La relación entre el OSS y el software comercial siempre ha estado mezclada con tensión moral e idealismo ingenuo

• Me provoca un rechazo tan fuerte que dan ganas de decir: “No creo en el infierno, pero si existe, ojalá haya un lugar para gente así”. La frase “te liberamos de las obligaciones de las licencias open source” suena desagradable con solo escucharla. Además, afirman que “nuestra IA nunca ha visto el código original”, pero me pregunto cómo podrían demostrar eso mediante una auditoría independiente. Será sátira, pero me sube la presión

  • Aunque sea sátira, en realidad las licencias FLOSS no exigen publicación cuando el uso es interno. Incluso si la IA crea una implementación completamente nueva, la protección por copyright sigue siendo imperfecta
  • De hecho, este proyecto fue una sátira presentada en FOSDEM. Sus autores también vienen de la comunidad open source

• Al principio no me di cuenta de que era sátira, y eso más bien me parece una muestra de la realidad actual. El mundo está cambiando demasiado rápido

  • Este sitio realmente acepta pagos con Stripe. Parece sátira, pero es un servicio real
  • Yo tampoco me di cuenta al principio de que era sátira, pero me tranquilicé al ver los testimonios falsos. Menos mal que todavía no es la realidad
  • Pero viendo que el nombre es ‘Malus’, uno termina dándose cuenta de que era sátira
  • Se llame como se llame, da la impresión de que algo así terminará volviéndose real

• La implementación clean-room tradicional consistía en separar equipos: uno escribía la especificación y el otro hacía la implementación. Pero es posible que los LLM ya hayan sido entrenados con el código original. Si es así, la verdadera cuestión legal sería: “¿el propio modelo es una sala contaminada?”

• Como caso real, en chardet issue #327 y #331 se puede ver que alguien está intentando este enfoque

  • Hay un ejemplo de que el modelo Opus 4.6 reprodujo y recordó todo el código fuente de chardet incluso sin acceso web (enlace al gist)
  • Un desarrollador que mantuvo el proyecto por más de 10 años se esforzó por hacer una reimplementación con licencia MIT, y aun así la comunidad lo criticó. Esa reacción da mucha pena
  • Este es un caso lo bastante importante como para tratarse en una discusión aparte

• La frase “si se determina que nuestro código infringe, daremos un reembolso total y trasladaremos nuestra sede a aguas internacionales” es una sátira genial. Parece predecir el futuro

  • El nivel de la sátira es altísimo. Al principio parece real, pero a medida que lees aparecen pistas deliberadas por todas partes. Justamente por poder hacerse realidad es que resulta más inquietante

• La primera vez que vi el concepto de “clean room” fue en una base de datos de estadísticas de béisbol. Los datos oficiales eran gratuitos, pero su formato y estructura podían estar protegidos por copyright, así que los fans reconstruyeron los datos de forma independiente. Juegos como Baseball Mogul usaban eso. Da la impresión de que en el futuro habrá más esfuerzos de reimplementación independiente de este tipo

• Es una sátira realmente excelente. Pero entonces, ¿por qué nadie ha creado todavía un servicio así en la práctica? Gente que quiera sacar provecho usando open source ciertamente existe. ¿Será que el riesgo de demandas es demasiado alto, o que alguien ya lo está intentando?

  • En realidad, como cualquiera puede usar un LLM moderno, no hay mucho motivo para pagarle a un tercero por una “implementación clean-room”. El valor real estaría en el wrapper que asume el riesgo legal por ti
  • En el mundo hay muchas oportunidades para actuar con mala intención, pero la mayoría de la gente tiene límites morales. Aun así, cuando estas ideas se hacen públicas, podrían aumentar los intentos reales, como ocurre con los copycat crimes
  • De hecho, esto ya está ocurriendo. Si un desarrollador le pide a una IA “implémentame esta función, y de paso mira este repositorio de GitHub”, puede producirse una reimplementación sin querer
  • El problema es la confianza y la seguridad. Me parece mejor procesar secretos empresariales con una IA local que dejarlos en un SaaS. Esos sistemas ya existen y se usan bastante
  • Y siendo realistas, los LLM todavía no están al nivel de escribir código complejo de forma perfecta. Por eso sería difícil que un servicio así funcionara de verdad