JavaScriptのスペースが尽きていく

ほとんどの人は、インターネットがサーバーによって動いていると思っている。しかし実際にはそうではない。インターネットはJavaScriptによって動いているのだ。しかしJavaScriptにも限界がある。

現在、中央値のウェブページの重さはデスクトップ上で2.6メガバイト15年で5倍に増加したのです。そのうち、JavaScriptだけで600キロバイト以上を占めており、昨年は画像よりも最も多く求められるリソースとして認識されました。90パーセンテージのページ――つまり、大手ニュースサイトやECプラットフォーム、メディア企業が運営するページの場合――は11メガバイト以上になります。最近、ニューヨーク・タイムズの記事1本だけで…49メガバイト、422回のネットワークリクエストで使用されました。.

注目すべきは、そのサイズではない。重要なのは、そのサイズが何を意味するかという点だ。その49メガバイトのデータの中身は、おそらく1メガバイト未満でしょう。残りの部分は、UIフレームワークや追跡スクリプト、同意バナー、広告、チャットウィジェット、そしてそれらを一つに結びつけるためのコードです。つまり、あなたが読んだのはニュース記事であり、ネットワークはMP3アルバムに相当するデータを送信したのです。

これは、悪い設計の結果ではありません。単一作物栽培がもたらす必然的な結果です。

オンラインで製品を販売するすべての企業がJavaScriptを使用しています。ほとんどの企業ではなく、すべての企業です。最も広範なユーザー層にアプローチしつつ、最小限の手間で実現したい場合には、1つの言語、1つのパッケージ登録システム、そして1つのデフォルトツールチェーンが必要です。2025年には、npmが約9.8兆回のダウンロードを記録しました。その年の発見されたオープンソースマルウェーの99％以上がnpmに存在していました。JavaScriptエコシステムは、インターネット上で最も重要なインフラであると同時に、最も危険な状態にあるものでもあります。

矛盾があるのは、単一コンテンツ化によってJavaScriptの問題が避けられないということです。バイト量も増えてしまいます。なぜなら、すべての開発者が同じ状況に置かれるからです。そして、その「肩」というのは他の人々の依存関係から成っているのです。典型的なECサイトでは、30以上のnpmモジュールが使われており、それぞれが独自の依存関係を引き起こします。単純なReactフレームワークでは、自分のコードを1行書く前に、150〜200キロバイトのフレームワークコードが必要になります。予算が限られたAndroid携帯電話では、450キロバイトの圧縮されたJavaScriptを解析するのに時間がかかります。これは、モバイル端末の平均値に相当します。225〜360ミリ秒のCPU時間単にコンパイルするための操作であり、コードが実行される前のことです。安価なスマホでは、その時間が2倍になります。ページの読み込みに100ミリ秒の遅延があると、転換率が7％も下がってしまいます。これは、パフォーマンスの問題という名の下で、実際には収益に関わる問題です。

セキュリティ危機とは、別の観点から見た単一化された状況そのものです。過去1年間で、脅威の主体は機会主義的な犯罪者から国家主導の組織へと変わりました。2026年6月には、Sapphire Sleetという北朝鮮のグループが、19分でMastra AIエージェントフレームワークを攻撃し、悪意あるツールを配布し、140以上のパッケージを再配布して暗号通貨のウォレットやクラウド認証情報を収集しました。5月には、別のグループが169のTanStackパッケージのうち373種類に悪意あるコードを配布し、約5億2千万回の週間ダウンロードがあったことが明らかになりました。その前日には、323のAntVパッケージのうち639種類に悪意あるコードが1時間で配布されました。共通点は、npmの問題です。ポストインストールパッケージをインストールすると、自動的にコードが実行されます。誰も何かをクリックする必要はありません。これは、箱を開ける前にデリバリー機構が実行されるという「サプライチェーン」のようなものです。

では、単一栽培を乗り越える方法を提供してくれる企業には、どうなってしまうのでしょうか？

Cloudflareは、その最も明確な例です。彼らの事業は、インターネットが遅すぎて、セキュリティも不十分で、自社のサーバーで管理することができないという前提に基づいています。CDN、DDoS保護、エッジコンピューティング、ゼロトラストネットワークなど、これらはすべて、ウェブがより複雑で、より外部からの攻撃を受けやすくなるにつれて、価値が高まるインフラです。2026年第二四半期の収益は…6億9600万ドル、前年比36％の増加約6億6500万ドルというコンセンサス推定値を上回った。RPO（残りの履行義務、契約に基づく将来の収益の指標）は35％増加した。同社は現在、41億ドル以上の現金を持っており、年間収益は28億6000万〜28億7000万ドルになると予測している。これは減速ではなく、成長が加速していることだ。

しかし、Cloudflareの評価を考えるときに多くの人が見逃している点があります。その株価は、過去の売上高に対して約48倍のレートで取引されています。どれだけ急成長しても、この比率を維持し続ける必要があり、それによって持続的な収益性が得られるはずです。同社は非GAAP基準での運営利益率が14％程度であると報告していますが、これはまあ良いことです。しかし、GAAP基準での運営損失は第2四半期に2億5千万ドルに達し、これは売上高のほぼ30％に相当します。これは株式型報酬によるものです。市場はインフラ関連の事業を重視しているが、実際の利益についてはそうではないのです。

AInvestの総合評価では、その株は「買うべき」と判断されており、複合評価や基本的な評価も高いレベルにある。これは、誰もが購入するような分野で36％の成長を遂げている企業から予想されるものだ。コンセンサスとしてはポジティブな見方である。しかし、表面的な傾向は、年々広がり、騒音が増え、事故のリスクも高くなる高速道路上での状況に似ている。

Cloudflareの主張を考える際に重要なのは、同社がその計画を実行できるかどうかではなく、JavaScriptの単一文化が、何か問題が起きることなく、どれだけ拡大し続けられるかという点です。

3つの可能性があります。

最初のケースは問題ない。ウェブはどんどん肥大化し続け、攻撃を受け続け、Cloudflareのような企業に手を貸して、その混乱を処理させている。これが現在の複数化モデルが想定している基本状況だ。これには、JavaScriptの支配的な地位が自己強化される必要がある。つまり、npmエコシステムから離れる際のコストが、そのエコシステムに留まることによる苦痛よりも高くなるということだ。ほとんどの企業にとって、そうである。npmの代わりになるものは、より良いエコシステムではなく、自分自身で作ることだ。JavaScriptの代わりになるものは、クライアント側でのPythonやGoではなく、WebAssemblyだ。しかし、性能上の利点が必要ない95％のサイトにとっては、まだ遠い道のりだ。

第二の結果は、対応が必要になることです。過剰な負荷は耐えられないほどになり、ブラウザや検索エンジンは何らかの制限を加えるようになります。Googleはすでに遅いCore Web Vitalsに対してペナルティを科しており、さらに厳しいクライアントサイドの制限も考えられています。2025年におけるReact Server Componentsの脆弱性から、JavaScriptが企業のインフラに深く浸透していることが明らかになりました。フレームワークレベルのバグが生産システムを破壊する可能性があります。もし業界がJavaScriptの実行を制限したり、インストールスクリプトをサンドボックス化したり、すべての依存関係の出所を確認することを義務付けたりすると、単一文化が崩れるでしょう。それは世界中の開発者にとって痛みを伴うことでしょう。しかし、Cloudflareにとっては好都合かもしれません。そうなれば、新たに生じる制限を実施する層としての役割を果たすことになります。

第三の結果は、誰も予測できないものです。JavaScriptは崩壊しないわけではありませんが、スムーズに機能することもありません。JavaScriptは二つのエコシステムに分かれます。一つは高信頼性のインフラであり、閉鎖されていて、動作が遅いものです。もう一つは消費者向けのウェブであり、高速で柔軟なものです。Cloudflareは両方のレーンにおいて役割を果たしますが、インフラのセキュリティに関する経済的側面が優先されます。これは、現在のビジネスよりも良いものです。なぜなら、企業のセキュリティ契約の報酬はCDNの帯域幅よりも高いためです。

3番目の結果が最もあり得ると思います。その証拠は、攻撃のパターンにあります。国家レベルの勢力がJavaScriptを標的にするのは、それが好きだからではありません。重要なものがすべてJavaScript上で動作するからです。最も多くダウンロードされるパッケージが武器になったとき、それを利用する企業は、セキュリティを選択的な機能として扱わず、必須の要件として捉えるようになります。Cloudflareもすでにその変化に向けて準備しています。最近、Workers AIとAI Gatewayを一つの制御プランに統合したことで、CloudflareはAIトラフィックのルーティング、可視性、アクセス制御のための重要なポイントとなるでしょう。もはや帯域を売っているのではなく、ガバナンスを売っているのです。

この考えを確認するためのテストは簡単です。ブラウザがより厳格なJavaScriptサンドボックス制を実施したり、npmがライフサイクルスクリプトの実行を無効にした場合に何が起こるかを見てみましょう。もしCloudflareの成長率がその過程で30％以上続くなら、単一文化という考えは間違っています。それはガバナンスに関する考えであり、同社はより限定的だがより収益性の高い役割を担うのに適しています。しかし、成長が鈍化し、利益率が拡大しない場合、現在の株価配当率は、JavaScriptが順調に拡張し続ける限りでしか機能しないものです。

ほとんどの人がCloudflareを評価する方法は、その収益が予想を上回ったか、業績予測が引き上げられたかどうかを見ることです。今四半期では、両方が正しいことでした。しかし、それだけでは不十分です。問題は、Cloudflareが成長するかどうかではなく、ウェブがそれを必要としているから成長するのか、それとも他に選択肢がないから成長するのか、ということです。これらは同じことではありません。