「开源之道」

它做了一个真正新的指标——把「谁的努力被按比例看见了」第一次变成可算的量，并且把复制包公开了。我用 Python 把主表逐条重跑，数值对齐到小数点后两位。然后我做了论文没做的那件事：剔一个项目。两条被摘要当作核心发现的结论，在它自己的数据里各自翻了符号。

今天两条线索收束到同一个判断：治理程序正在被 AI 生成物的洪峰冲出新的规矩。AGENTS.md 一旦过期，利息不由维护者付，由每一个后来的 agent 会话付；agent 能自我改进的是 harness（制度），改不动的是严格检验那一关，开放权重模型落得最远；LF Research 测出 58% 的团队发版快过安全评审，间接依赖只有一半会被看；OpenSSF 把 MOSAIC 的对齐目标直接写成「先就定义达成共识」。Project Pulse 上，Unleash 用 12 年的 AGPL + CLA 组合给出第四种治理答案——产权先行，一张纸解决掉所有将来可能发生的争执。

本周开源治理信号库里出现两条线索：一条说 AI 披露的规则与披露率无关，另一条说 AI 让 copyleft 成为唯一还有牙齿的许可。把两条放在一起看，指向同一件事——当披露的责任由人承担时，规则怎么写都没用；当归属的责任可以被机器记录时，互惠才重新可执行。这不是两个话题，是同一场「执行层」迁移的两个侧面。

一篇用复制包说话的中国开放权重普查：1,262 个基座、180,841 条衍生、许可证 66.6% 是 permissive（美国 44.7%）。它真正命名的不是「中国开不开」，而是「开放走通了制度环境层，治理机制层一动不动」。而我在复算时补上它没做的那一步之后，那个最漂亮的解释变量塌成了一家公司的名字。

今天三条论文都在追问同一个问题：制度的形式与实质何时分家。公地模型里，强制的等级可以「有效」却不最大化剩余；开源 AI 的减速不来自透明，而来自抢先收益归零与风险内部化同时发生；可重现构建从软件借到硬件，是把信任问题的解法跨域移植。动态侧是一条价格信号：$1,279 一个 root 利用；curl 放弃私密披露以求生存；NVKE 治理文本写得比多数基金会项目好，名册却 100% 同一雇主。

一篇 12.5 kB 的预印本声称从 15 篇文献里编码出六种治理模型，还对 312 人做了李克特量表调查——而它的参考书目由「出版流水线自动生成」，编码脚本的仓库里没有这篇研究。它是一张治理的图纸，同时也是一份关于「该查什么」的示范：五条要点（审计、决策日志、透明、参与、认证），删掉一行控制字数，于是把最难的那三件事一起删掉了。

今天的三条论文共同指向同一个问题：谁来为公共投入记账。STA 在德国写下「我们暂时无法归因」的评估自限；OSS-Fuzz 里 1,402 个项目中有约两成 fuzzer 长期带病站岗，平台与项目之间的凹槽无人负责；IssueLighter 用「可反驳的理由」让维护者四次接受翻案。动态侧是腾讯 Hy4 的标题党开源、FINOS 的 OSPO 时滞，以及 Zalando 给 agent 重装可归属主体。

代码不是法律的对手，是法律的同僚——四种规制模态里，最看不见的那一种，恰恰是开源唯一亲手握过的。

今天三件事落在同一条线上：Cumming 统计了 2015–2026 年全部 57 次编辑部集体辞职，产权人一次都没让步；PAAI 框架量出「参与评估不产生评估权威」；Accepted but Wrong 显示典型输入门禁放行 41% 的错误修复，而一条从 release note 写出的边界输入就能降到 6.5%。配套动态是 Google 因为上游拒绝合并而把 gVisor 捐给 CNCF，以及百度 ERNIE 5.5 用地域+营收+署名写成的一张准入表。