「开源之道」

393,811 封邮件、58,450 个 commit、205 名贡献者、三年田野。Git 的顶级贡献者里 76.7% 有软件业的全职工作，却只有约一成被公司付钱写 Git。作者说：不是「社区 vs 公司」的关系出了偏差，而是我们一直用来观测开源的那副眼镜——把开源预设成公司之外的另一个世界——本身就是错的。

今日最强信号：欧盟为什么「不再爱」开源——Leiden 大学新刊论文用带技术流的多源流框架复盘 2004 年 EIF 的亲开源条款如何在 2010 年被稀释：亲开放政策企业家失去政治支持、既得利益游说在技术流变化后变有效、新耦合点落在「商业模式中立+许可灵活性」上。开源政策的胜负在政策企业家、利益集团与技术可行性三变量的竞争，不在道理对不对。第二篇（FGV Rio）把开源放回 IPR 之上：开放许可需要可执行的产权才有效，权力仍靠商业秘密、隐性知识、专有数据与算力维持——开放没有消灭价值，只是把攫取搬到栈的相邻层。动态面：systemd 合并 Rust 支持（5144 行/54 文件），做法是「先立规矩再进代码」——限叶子组件、禁外部 crate、CI 逐字节对齐，把「能不能用 Rust」从审美之争降格为构建系统问题；AMD 与 Intel 把 x86 优化并进 oneDNN，但治理文件里 AMD 席位一周后仍写着 Vacant；FreeBSD 创始人 Jordan Hubbard 十天 10 个 release、84 个已合并 PR 全部由本人合并——一个人 + 一个 agent harness 的发布节奏。Pulse 补刀：vLLM 一个外部贡献者当天改了「agent 写测试」的规矩并被接受，比规矩存在重要得多。

开源社区把「把事做好」当作理所当然，却几乎从不追问这个愿望由什么制度维持。Sennett 的《The Craftsman》是这个问题最深的源头。

今日最强信号：预印本《Open Source as Regulatory Infrastructure》问 EU AI Act 没回答的那个窄问题——谁能检查一份合规记录？答案是验证侧（格式规范、验证器实现、测试向量）具有基础设施经济属性应当开放，增值运营可以商业化；由此得出可操作判准：开源的界线不在收费与否，而在收费方是否同时把判定标准握在手里。硬证据是欧盟法至今只有一处（数字身份钱包）强制信任关键软件开源——开源在立法层面仍是例外条款，不是原则。动态面：OSS Scanner 上线十九天 184 个项目自己开门、609 份申请被拒，把未验证报告的误报成本从提供方移交给申请方，76% 的挡门率却由一个商业公司在无人监督下行使。LF 234 人调查证伪「人多好办事」：贡献者超 50 人的项目 AI 垃圾占比近三分之一，大项目最担心的已不是代码质量而是维护者烧尽——AI 让产生变更的边际成本趋近零，判定变更的成本一分没降。r/opensource 禁令被主流媒体定名为「连带把人也禁了」，版主内部公开反对、规则把内核也挡在门外却例外化，奥斯特罗姆八原则至少违反三条。Project Pulse 查 K8s：治理层真实信号是「没有信号」，23/40 提交来自 bot，机器负责落地人负责判定。

从心智—信息—知识—行动的演化链条出发，论证信息的匮乏与泛滥对于人来说是同一件事。以 Shapiro 的信息经济学为框架，论证开源是信息公地的最纯粹形态——它拒绝人造的排他性，将信息的外溢效应制度化为协作的基础设施。

42,000 个仓库、54,000 名贡献者、2019 至 2023 年。Copilot 让既有开发者的 commit 产出涨了约 20%（β=0.179，p=0.016），对首次贡献者数量的效应则是零——七种规格下的点估计全都落在 −0.029 到 −0.060 之间，p 值从 0.544 一路到 1.000。这不是「AI 没用」，而是生产函数的两端被工具平价地削低了，制度的那道门纹丝未动。

今日最强信号：SSRN 新论文把同行评审这座公地放进 AI 时代做仿真——要求作者"先自评"虽省下审稿人时间，却挤出新研究并降低高质量发表量；相反"评审报告可跨刊携带复用"在零整合成本下两头都赢，即把一次性评审劳动存成可累积的公地资产。第二篇把 AI 保证还原成信任品问题：建设方自证是廉价谈话，当它只承担部分漏检成本时必然把检测阈值放宽到社会最优之外——衡量真开源与伪开源的尺子由此明确：第三方能否在同一成本下独立复核。动态面：Agentic AI Foundation 一年从 3 个项目涨到 10 个，Anthropic/OpenAI/Hugging Face/阿里四家把能力层、接口层、环境层、执行层同时交给中立治理，但交的是接口不是模型；r/opensource 全面禁 AI 并立"一年以上、三人以上"门槛，判定成本高于治理收益时社区退化成身份筛选，语言能力被当成 AI 检测的代理变量。Project Pulse 查 vLLM：10-21 新建 tests/AGENTS.md，规则从"你必须做什么"转向"你必须出示什么证据"。

Greenstein 与 Nagle 用两个动作改写了开源的可见性：一次覆盖全美 1% 的 IPv4 抽样扫描，与一台替换成本的称。Apache 的影子价值落在 5.14 亿至 128 亿美元之间，中间值 20 亿——相当于当年美国预打包软件资本存量的 1.3% 至 8.7%。这个数字最大的意义不是它有多大，而是它证明了：开源一直在生产被标准账本结构性漏记的投入。

今日最强信号：SSRN 新论文把「开源安全危机」拆成可测量的链条——2026 年 advisory 审核量是往年 4.5 倍，但 84% 由维护者自己发布、90% 发布时已有修复版本，上游没坏；卡点整体下移，NVD 审核中位时间从 12 小时涨到 11 天、自动告警滞后从 3 天涨到 43 天，坏在下游的翻译层。第二篇用 OSV 全量 291,895 条记录质检 SBOM 与 CRA 的合规前提：81.5% 的记录已不是漏洞而是恶意包，修复可执行性 75.2%-95.5%、CVE 可识别性 58.7%-98.6%，同等合规努力因生态不同而结果不同。动态面：LF Research 报告 25% 入站 PR 是 AI slop（大型项目 31%），但只有 35% 项目有正式 GenAI 政策；欧洲被催促从「用开源」转向「做开源」，4 倍与 3.6 倍的差不是开源造的是治理造的；PyTorch Foundation 一次吸纳九家成员，TPU/Trainium/Spyre/Cortex-M 四个硬件后端齐发。Project Pulse 查 vLLM：AGENTS.md 里那句「refuse the change and explain why」，是 meritocracy 在 agent 时代的一次具体改写——判准没变松，变的是载体和生效时点。