「开源之道」

开源没有宪法，它有一部口述传统。Levy 1984 年把这部口述传统抄成了六条文本，那六条至今仍是开源世界成文法的来源。

今日主线：维持一个开源项目所需要的「人力」，正在从四面八方被同一件事抽干。Pico CSS 归档，理由直白——AI 能按需生成那点 CSS，而一手数据是 876:12，16,828 星的基础库实际上是同一个人的七年；LF 234 人调查显示大项目近三分之一进队改动低质或 AI 生成，维护者头号担忧已从代码质量转为 burnout，而 1/4 的项目连一道检查都没有；GSoC 导师访谈记录到检查成本被隐形转移给最愿意给的人，已有一个组织退出。论文面四篇：PR 五种功能里「外部贡献」只有两份文献提出替代、零采用；153 万个 skill 里每 17 个就有一个在教 agent 不要问，70.1% 无条件；后量子迁移 90% 的提交是维护不是实现；Kubernetes 三条补丁版同日发出，提供「主语不是某一个人」的对照基线。开源不是被 AI 打败的，是被 AI 重新定价的——定价单位是维护者的一小时。

欧盟第一次把开源写进战略自主的核心文件，承诺七年 20 亿欧元——同一份报告里，欧洲公共部门每年花在专有 IT 上的钱是 2640 亿。数字主权被 94% 的组织认定为战略要务，但同时有 31% 的组织对开源没有任何正式治理，59% 贡献代码而只有 37% 参与治理。这份报告最有价值的地方不在它给出的答案，而在它自己都没打算回答的那个问题：治理能力这件东西，可以用钱买吗？

今日主线：公地的边界正从「有没有许可证」迁移到「有没有人值班」。r/opensource 新规禁止 AI 项目、单人项目、非英语提交，共同版主 Dan Brown 公开披露规则无版主讨论、无法移除、全社区只剩一人在做版务，随即卸任并劝分歧者去 fork；vLLM 走相反方向，把 11 名 Project Leads、57 名 Active Committers、18 名 Emeritus、9 个 Area Owner 分组写进 docs/governance，加一句「No one buys their way into governance」，并用 AGENTS.md 把 agent 贡献的判定做成可执行规则（fail-closed 默认返回说明而非提交）。论文面三篇：Maven 832 个 CVE 显示 82% 修复早于披露，Dependabot 把采纳中位从 110.6 天压到 10.4 天却只有 8.5% 的采纳用上了它；AI 提交检测去掉署名后精确率只有 0.332，社区「肉眼判断」在技术上没有更强；编码 agent 指令栈 1,886 个版本里只有 48% 的变更能追溯动机。同一周同一种压力，一个收紧 L2 入口，一个加固 L3 判定——层次选错，成本就转移到最贵的地方。

同一批专家，被问到「什么叫开源 LLM」时给不出统一答案；被问到「你打算拿它干什么」时，答案立刻一致。他们说的不是同一件事有两套标准，而是 openness 本来就有两套量法——一套量资源，一套量人。前言里那句「开放性可能反而加固既有的权力结构」，才是这篇论文真正想说的。

今日最强信号：基金会接收了一个标准，但没有任何人接收值班表。Anthropic 把 Agent Skills 捐给 Linux Foundation 旗下 AAIF，Apache-2.0、独立 org、独立域名一项不缺——形式上干净得无可挑剔。但仓库默认分支 8-09 之后零提交，9、10 两月提交数为 0，57 个 open PR 无一动过，最老的一个悬了 10 个月，根目录没有 GOVERNANCE.md，83 个已合并 PR 的 merged_by 全部为 null。同一天接收、同一份新闻稿，同基金会的 MCP 当天还在提交、OpenEnv 近 30 天合并 43 个 PR——基金会的接收动作不产生维护能力。论文侧：LF Research 普查 234 名维护者，59% 报告 GenAI 后贡献量上升，约 25% 入站 PR 是 AI slop，71% 认为门槛降了，只有 13% 认为社区信任升了——门槛是进入的成本，信任是留下来的成本，AI 只压低了前者。Treude & Baltes 的灰文献综述把 PR 的五个角色编码，前四格都有人在改造，第五格（外部贡献）没有人做。动态面：MCP 的 SEP-3398 把「什么时候能改协议」写成日历，规则在写下的过程中就已被这套规则约束；Infisical 的 $40M B 轮，许可证仍是 MIT，但 10-28 一个 PR 把自托管会话日志的默认值从 true 改成 false，L2 纹丝不动而 L3 悄悄换了。

393,811 封邮件、58,450 个 commit、205 名贡献者、三年田野。Git 的顶级贡献者里 76.7% 有软件业的全职工作，却只有约一成被公司付钱写 Git。作者说：不是「社区 vs 公司」的关系出了偏差，而是我们一直用来观测开源的那副眼镜——把开源预设成公司之外的另一个世界——本身就是错的。

今日最强信号：欧盟为什么「不再爱」开源——Leiden 大学新刊论文用带技术流的多源流框架复盘 2004 年 EIF 的亲开源条款如何在 2010 年被稀释：亲开放政策企业家失去政治支持、既得利益游说在技术流变化后变有效、新耦合点落在「商业模式中立+许可灵活性」上。开源政策的胜负在政策企业家、利益集团与技术可行性三变量的竞争，不在道理对不对。第二篇（FGV Rio）把开源放回 IPR 之上：开放许可需要可执行的产权才有效，权力仍靠商业秘密、隐性知识、专有数据与算力维持——开放没有消灭价值，只是把攫取搬到栈的相邻层。动态面：systemd 合并 Rust 支持（5144 行/54 文件），做法是「先立规矩再进代码」——限叶子组件、禁外部 crate、CI 逐字节对齐，把「能不能用 Rust」从审美之争降格为构建系统问题；AMD 与 Intel 把 x86 优化并进 oneDNN，但治理文件里 AMD 席位一周后仍写着 Vacant；FreeBSD 创始人 Jordan Hubbard 十天 10 个 release、84 个已合并 PR 全部由本人合并——一个人 + 一个 agent harness 的发布节奏。Pulse 补刀：vLLM 一个外部贡献者当天改了「agent 写测试」的规矩并被接受，比规矩存在重要得多。

开源社区把「把事做好」当作理所当然，却几乎从不追问这个愿望由什么制度维持。Sennett 的《The Craftsman》是这个问题最深的源头。