Linux Foundation start BUILD Foundation voor Bazel

De BUILD Foundation startte op 14 oktober in Amsterdam met ASML en vijf andere startleden, meldt de Linux Foundation, om onderhoud en tooling rond Bazel gezamenlijk te financieren.

Onderhoud rond Bazel krijgt nu een formele route voor gezamenlijke financiering: bedrijven kunnen zich aansluiten en mee richting geven aan gezamenlijke investeringen. Dat raakt de softwarebouwstraat die ontwikkelaars en automatische tests nodig hebben om code te bouwen en te controleren. Canva zegt dat er wekelijks duizenden wijzigingen binnenkomen. Figma gebruikt Bazel voor zes talen met één gedeelde kaart van afhankelijkheden tussen de ontwikkelomgeving en de automatische build- en teststraat. Dit zijn voorbeelden van twee leden, geen onafhankelijke prestatiemeting voor andere teams.

Zes leden richten zich op de gedeelde laag

De zes eerste leden zijn ASML, Canva, Datadog, EngFlow, Figma en Spotify. De stichting wil de leden gezamenlijk laten investeren in bouwstenen die lastig door één organisatie alleen te onderhouden zijn, zoals onderhouders, taalregels en hulpmiddelen rond Bazel. Volgens de aankondiging gebruiken duizenden bedrijven Bazel op grote schaal, maar de release geeft geen onafhankelijke telling of meetmethode.

De leden noemen concrete redenen om mee te doen. ASML gebruikt Bazel naast andere bouwsystemen en zegt voordeel te hebben gehad van open-sourcegemeenschappen. Principal engineer Emil Waijers zegt dat de stichting ruimte geeft om onderhouders, documentatie en gereedschap te steunen. Ook wil ASML richting geven aan de manier waarop teams software bouwen in andere open-sourceprojecten. Dat maakt de inzet breder dan één tool vervangen of standaardiseren.

Bazel houdt talen, tests en caches bij elkaar

Bazel kan builds en tests voor meerdere talen en platforms vanuit één systeem aansturen. De documentatie beschrijft incrementeel bouwen, parallelle uitvoering en lokale of gedeelde caches. Als invoer niet verandert, kan een team eerder gemaakte resultaten opnieuw gebruiken. Met remote execution kan het bouw- en testacties over meerdere machines verdelen. Zo delen ontwikkelaars en automatische tests resultaten in plaats van elke taak opnieuw uit te voeren.

De onderdelen daaromheen bepalen mede of die mogelijkheden bruikbaar blijven. De Bazel Central Registry verspreidt taalregels, bibliotheken en hulpmiddelen; een project kan dus op afhankelijkheden steunen die buiten de eigen codebasis worden onderhouden. De eerste prioriteiten van de stichting komen volgens de aankondiging uit de Bazel-gebruikersenquête van 2025: technische documentatie, onderhouders voor bazel-contrib-repositories, training en certificering, betere IDE-integratie en beveiliging van de softwareketen. Voor een team betekent dat een mogelijke steunroute voor precies de randen waar integratie- en onderhoudswerk samenkomen.

Dat patroon sluit aan op eerder werk van dezelfde organisatie. In juni richtte de Linux Foundation Akrites op, een gecoördineerde inspanning om kritieke open source te beveiligen. De coalitie wil kwetsbaarheden in open-sourceprojecten vinden, repareren en verantwoord melden. Akrites richt zich op beveiligingsproblemen in projecten; BUILD op de bouw- en testinfrastructuur eromheen. Beide initiatieven organiseren gezamenlijke investering in software waarvan bedrijven afhankelijk zijn.

Release-attestaties vragen om controleerbare herkomst

De prioriteiten gaan ook over wat er gebeurt wanneer een pakket klaarstaat voor gebruik. De stichting wil de softwareketen versterken met release-attestaties in de Bazel Central Registry. In SLSA heet dit bouwherkomst: controleerbare informatie over wie een softwarebestand heeft gebouwd, met welk proces en met welke invoer. Een controleerbare attestatie kan een afnemer helpen te toetsen of een gepubliceerd bestand bij de verwachte bron en bouwstap hoort.

De aankondiging zegt nog niet welk formaat of welke verificatiestappen Bazel gaat gebruiken. Ook staat er niet dat bestaande pakketten straks automatisch attestaties krijgen. De koppeling met het register maakt de richting duidelijk, maar de beveiligingswaarde hangt af van de gegevens die onderhouders publiceren, de manier waarop die aan elk bestand worden gekoppeld en de controles die afnemers uitvoeren. Een algemene belofte over supply-chainbeveiliging is dus nog geen bewijs dat een concreet pakket veilig is.

Voor teams die afhankelijkheden binnenhalen, is die laatste stap bekend: de werkwijze om pakketten vast te pinnen, herkomst te controleren en scans in CI te laten draaien blijft nodig, ook wanneer upstream betere bewijsstukken publiceert. De stichting kan de aanlevering en vindbaarheid verbeteren, terwijl de afnemer bepaalt welke herkomst hij vertrouwt.

De uitvoering moet nog worden ingevuld

De officiële aankondiging noemt geen financieringsbedragen, lidmaatschapskosten, bestuursstructuur of planning voor de eerste opleveringen. De prioriteiten zijn daarmee een agenda, geen lijst met al beschikbare functies of gegarandeerde deadlines. Voor ontwikkelteams is er op dit moment dus geen nieuwe Bazel-versie of verplichte wijziging aan hun CI-proces aangekondigd.

De betekenis zit voorlopig in het organiseren van een plek waar gebruikers richting kunnen geven aan gemeenschappelijke knelpunten. Het is een ontwikkeling die past bij andere gezamenlijke investeringen in open-sourceonderhoud, terwijl de release-attestaties een concrete verbinding leggen met wat organisaties in hun softwareketen kunnen controleren. Of dit voor Bazel-gebruikers tijd scheelt of risico verlaagt, wordt pas zichtbaar wanneer budgetten, beheerders en publicatievormen bekend zijn. De eerstvolgende toets is wat de stichting daadwerkelijk financiert en wat er in het register verschijnt.