「开源之道」

42,000 个仓库、54,000 名贡献者、2019 至 2023 年。Copilot 让既有开发者的 commit 产出涨了约 20%（β=0.179，p=0.016），对首次贡献者数量的效应则是零——七种规格下的点估计全都落在 −0.029 到 −0.060 之间，p 值从 0.544 一路到 1.000。这不是「AI 没用」，而是生产函数的两端被工具平价地削低了，制度的那道门纹丝未动。

今日最强信号：SSRN 新论文把同行评审这座公地放进 AI 时代做仿真——要求作者"先自评"虽省下审稿人时间，却挤出新研究并降低高质量发表量；相反"评审报告可跨刊携带复用"在零整合成本下两头都赢，即把一次性评审劳动存成可累积的公地资产。第二篇把 AI 保证还原成信任品问题：建设方自证是廉价谈话，当它只承担部分漏检成本时必然把检测阈值放宽到社会最优之外——衡量真开源与伪开源的尺子由此明确：第三方能否在同一成本下独立复核。动态面：Agentic AI Foundation 一年从 3 个项目涨到 10 个，Anthropic/OpenAI/Hugging Face/阿里四家把能力层、接口层、环境层、执行层同时交给中立治理，但交的是接口不是模型；r/opensource 全面禁 AI 并立"一年以上、三人以上"门槛，判定成本高于治理收益时社区退化成身份筛选，语言能力被当成 AI 检测的代理变量。Project Pulse 查 vLLM：10-21 新建 tests/AGENTS.md，规则从"你必须做什么"转向"你必须出示什么证据"。

Greenstein 与 Nagle 用两个动作改写了开源的可见性：一次覆盖全美 1% 的 IPv4 抽样扫描，与一台替换成本的称。Apache 的影子价值落在 5.14 亿至 128 亿美元之间，中间值 20 亿——相当于当年美国预打包软件资本存量的 1.3% 至 8.7%。这个数字最大的意义不是它有多大，而是它证明了：开源一直在生产被标准账本结构性漏记的投入。

今日最强信号：SSRN 新论文把「开源安全危机」拆成可测量的链条——2026 年 advisory 审核量是往年 4.5 倍，但 84% 由维护者自己发布、90% 发布时已有修复版本，上游没坏；卡点整体下移，NVD 审核中位时间从 12 小时涨到 11 天、自动告警滞后从 3 天涨到 43 天，坏在下游的翻译层。第二篇用 OSV 全量 291,895 条记录质检 SBOM 与 CRA 的合规前提：81.5% 的记录已不是漏洞而是恶意包，修复可执行性 75.2%-95.5%、CVE 可识别性 58.7%-98.6%，同等合规努力因生态不同而结果不同。动态面：LF Research 报告 25% 入站 PR 是 AI slop（大型项目 31%），但只有 35% 项目有正式 GenAI 政策；欧洲被催促从「用开源」转向「做开源」，4 倍与 3.6 倍的差不是开源造的是治理造的；PyTorch Foundation 一次吸纳九家成员，TPU/Trainium/Spyre/Cortex-M 四个硬件后端齐发。Project Pulse 查 vLLM：AGENTS.md 里那句「refuse the change and explain why」，是 meritocracy 在 agent 时代的一次具体改写——判准没变松，变的是载体和生效时点。

Wen, Ceccagnoli & Forman 在 Management Science 发表了一篇回答’开源专利战略是否真正促进了创业’的实证研究。答案不是直觉性的’是’，而是一个更精确的命题：IBM 的专利不追诉声明和专利公共池刺激了开源产品进入，但这种刺激效应在创新累积性和专利集中度越高的市场中越强——这意味着专利战略不是万能钥匙，而是一种有条件的制度设计。

Lerner 与 Schankerman 用 15 个国家、1,894 家软件企业、2,342 家软件用户的电话调查，把开源从一个意识形态辩论变成一组可以在田野里被测量的事实：开源与专有软件不是两个世界，而是同一批企业、同一批用户、同一条业务线上交织开发与采购的两种许可形态。企业内开源与专有开发的混合不是过渡状态，是均衡；而「政府该不该扶持开源」这个问题的答案，恰恰要从混合的事实里推出来。

今日最强信号：ETH Zürich 在 Strategic Entrepreneurship Journal 上把「开源降低门槛」这句话拆开了——开放权重模型不是降低进入壁垒，而是迁移进入壁垒，资源门槛下降的同时对「借来的组件」的治理依赖上升；Linux 内核维护者峰会直接废掉 Assisted-by 标签，业界在往强制标注走，内核逆向走——去掉元数据、改为对结果负责，Torvalds 那句「这不是 AI 的问题，是被 AI 暴露出来的问题」是 L1 层判断；AAIF 一年从 3 个项目到 10 个，谁捐什么暴露了谁在哪一层有护城河，真正难替换的模型权重一个都没捐；Sentry 把开源赞助提到 100 万美元并开始资助常规依赖分析看不见的「幽灵依赖」，这是给公地补一条可测量性的地基；Project Pulse 查 OpenSandbox：捐赠公告是宣言，仓库里的文件才是事实——制度准备好了，但权力转移的证据还全是空的。

Söderberg 用一整本书回答了一个开源运动最本质的问题：开源对资本主义的颠覆性到底在哪里？他的答案不是’免费软件’，而是’hackers 用游戏绕过了劳动-工资-消费关系的异化’。这本书是开源批判理论中少有的严肃马克思主义分析，也是理解’为什么开源在中国不能靠市场存活’这一问题的理论前奏。

Jewitt、Rajbahadur、Li、Adams、Hassan（Queen’s University，KDD 2026）审计了 124,278 条 dataset→model→application 供应链，发现只有 2.3% 的宽松许可数据集和 3.2% 的宽松许可模型同时具备许可证全文与版权声明；而当上游真的齐备时，归属声明传到下游的比例只有 27.59%（dataset→model）与 5.75%（model→application）。结论一句话：宽松许可的标签不是可执行的授权，许可证文件与声明文本而非元数据，才是法律真相源。