「开源之道」

开源社区把「把事做好」当作理所当然，却几乎从不追问这个愿望由什么制度维持。Sennett 的《The Craftsman》是这个问题最深的源头。

今日最强信号：预印本《Open Source as Regulatory Infrastructure》问 EU AI Act 没回答的那个窄问题——谁能检查一份合规记录？答案是验证侧（格式规范、验证器实现、测试向量）具有基础设施经济属性应当开放，增值运营可以商业化；由此得出可操作判准：开源的界线不在收费与否，而在收费方是否同时把判定标准握在手里。硬证据是欧盟法至今只有一处（数字身份钱包）强制信任关键软件开源——开源在立法层面仍是例外条款，不是原则。动态面：OSS Scanner 上线十九天 184 个项目自己开门、609 份申请被拒，把未验证报告的误报成本从提供方移交给申请方，76% 的挡门率却由一个商业公司在无人监督下行使。LF 234 人调查证伪「人多好办事」：贡献者超 50 人的项目 AI 垃圾占比近三分之一，大项目最担心的已不是代码质量而是维护者烧尽——AI 让产生变更的边际成本趋近零，判定变更的成本一分没降。r/opensource 禁令被主流媒体定名为「连带把人也禁了」，版主内部公开反对、规则把内核也挡在门外却例外化，奥斯特罗姆八原则至少违反三条。Project Pulse 查 K8s：治理层真实信号是「没有信号」，23/40 提交来自 bot，机器负责落地人负责判定。

从心智—信息—知识—行动的演化链条出发，论证信息的匮乏与泛滥对于人来说是同一件事。以 Shapiro 的信息经济学为框架，论证开源是信息公地的最纯粹形态——它拒绝人造的排他性，将信息的外溢效应制度化为协作的基础设施。

42,000 个仓库、54,000 名贡献者、2019 至 2023 年。Copilot 让既有开发者的 commit 产出涨了约 20%（β=0.179，p=0.016），对首次贡献者数量的效应则是零——七种规格下的点估计全都落在 −0.029 到 −0.060 之间，p 值从 0.544 一路到 1.000。这不是「AI 没用」，而是生产函数的两端被工具平价地削低了，制度的那道门纹丝未动。

今日最强信号：SSRN 新论文把同行评审这座公地放进 AI 时代做仿真——要求作者"先自评"虽省下审稿人时间，却挤出新研究并降低高质量发表量；相反"评审报告可跨刊携带复用"在零整合成本下两头都赢，即把一次性评审劳动存成可累积的公地资产。第二篇把 AI 保证还原成信任品问题：建设方自证是廉价谈话，当它只承担部分漏检成本时必然把检测阈值放宽到社会最优之外——衡量真开源与伪开源的尺子由此明确：第三方能否在同一成本下独立复核。动态面：Agentic AI Foundation 一年从 3 个项目涨到 10 个，Anthropic/OpenAI/Hugging Face/阿里四家把能力层、接口层、环境层、执行层同时交给中立治理，但交的是接口不是模型；r/opensource 全面禁 AI 并立"一年以上、三人以上"门槛，判定成本高于治理收益时社区退化成身份筛选，语言能力被当成 AI 检测的代理变量。Project Pulse 查 vLLM：10-21 新建 tests/AGENTS.md，规则从"你必须做什么"转向"你必须出示什么证据"。

Greenstein 与 Nagle 用两个动作改写了开源的可见性：一次覆盖全美 1% 的 IPv4 抽样扫描，与一台替换成本的称。Apache 的影子价值落在 5.14 亿至 128 亿美元之间，中间值 20 亿——相当于当年美国预打包软件资本存量的 1.3% 至 8.7%。这个数字最大的意义不是它有多大，而是它证明了：开源一直在生产被标准账本结构性漏记的投入。

今日最强信号：SSRN 新论文把「开源安全危机」拆成可测量的链条——2026 年 advisory 审核量是往年 4.5 倍，但 84% 由维护者自己发布、90% 发布时已有修复版本，上游没坏；卡点整体下移，NVD 审核中位时间从 12 小时涨到 11 天、自动告警滞后从 3 天涨到 43 天，坏在下游的翻译层。第二篇用 OSV 全量 291,895 条记录质检 SBOM 与 CRA 的合规前提：81.5% 的记录已不是漏洞而是恶意包，修复可执行性 75.2%-95.5%、CVE 可识别性 58.7%-98.6%，同等合规努力因生态不同而结果不同。动态面：LF Research 报告 25% 入站 PR 是 AI slop（大型项目 31%），但只有 35% 项目有正式 GenAI 政策；欧洲被催促从「用开源」转向「做开源」，4 倍与 3.6 倍的差不是开源造的是治理造的；PyTorch Foundation 一次吸纳九家成员，TPU/Trainium/Spyre/Cortex-M 四个硬件后端齐发。Project Pulse 查 vLLM：AGENTS.md 里那句「refuse the change and explain why」，是 meritocracy 在 agent 时代的一次具体改写——判准没变松，变的是载体和生效时点。

Wen, Ceccagnoli & Forman 在 Management Science 发表了一篇回答’开源专利战略是否真正促进了创业’的实证研究。答案不是直觉性的’是’，而是一个更精确的命题：IBM 的专利不追诉声明和专利公共池刺激了开源产品进入，但这种刺激效应在创新累积性和专利集中度越高的市场中越强——这意味着专利战略不是万能钥匙，而是一种有条件的制度设计。

Lerner 与 Schankerman 用 15 个国家、1,894 家软件企业、2,342 家软件用户的电话调查，把开源从一个意识形态辩论变成一组可以在田野里被测量的事实：开源与专有软件不是两个世界，而是同一批企业、同一批用户、同一条业务线上交织开发与采购的两种许可形态。企业内开源与专有开发的混合不是过渡状态，是均衡；而「政府该不该扶持开源」这个问题的答案，恰恰要从混合的事实里推出来。