「开源之道」

Luhmann 一句话直击开源治理的核心：被命令去信任的信任，已经不再是信任——行政动员在系统论层面就不兼容开源

Harish Kumar 提出 verification asymmetry 命题——AI 治理时代判断开源的界线不在代码分发条件而在验证权归属生产者与否，直接以 EU AI Act/CRA/eIDAS 法条文支持；LF BUILD Foundation 6 家头部企业同日入会（ASML/Canva/Datadog/EngFlow/Figma/Spotify）把 Bazel 从 Google 内部工具制度化为全球公地，EngFlow 抽成→回馈路径对应 copyleft 互惠外化；AWS 升为 LF 第 4 家 Platinum 成员使「基金会托管」制度选项在云领域饱和，争夺转向 BUILD/OpenGrid/Tokenomics 等新层基金会；HashiCorp Boundary 归档继 Terraform/Vault 许可变更后再一层 IAM 开源退出——代码归档比许可证变更更硬，把贡献变得不可执行；荷兰税务机关 M365 转向进入 2027 本地部署执行阶段，与 LF Europe 数字主权叙事对照；79% OSPO 已参与 AI 治理、欧洲治理成熟组织 4.6x ROI vs 无治理 3.6x 把治理成熟度变成有价格差的可观察变量；Transformers v5.20.0 保持 10 天节奏、K8s v1.38 alpha.2 四 LTS 并行维护，两条慢聚漫奏样本持续验证包容性制度

Ouf & Hussein (2026, arXiv 2607.01750, Queen’s University + University of Ottawa) 用一份 3,925 篇论文的多源筛选，把过去三十五年「当作同一种东西」的开源软件重新剖分为 14 种 sub-genres，从 community-driven、company-backed、foundation-governed 到 multi-company co-opetition、protestware、open-source appropriate technology。核心命题不是「开源有 14 种」，而是——「sub-genre 决定外部效度」：任何关于开源的实证结论必须先声明抽样的 sub-genre，否则结论不可推广。这是过去所有开源经济学实证研究（包括 Lerner-Tirole 2002、Weber 2004、Benkler 2006、Coleman 2013 等）的一个方法论前置条件补齐。开源四层制度基础设施第 15 层「类型学层」的第一份实证：类型学层比「分类权层」「治理权地理分布层」「贡献者边界层」都更基础——没有类型学，其他层的命题都失去操作对象。

荷兰税务与海关总署取消 Microsoft 365 云迁移、转向本地开源方案，是「开源作为主权工具」命题的第一个可核验制度案例——四项具体制度要求（Double Key 加密、E2E 默认、反锁定、退出策略）驱动的制度决策，不是笼统的国家叙事；LF 三项目同周成立（BUILD Foundation、OpenGrid、Tokenomics Foundation），把开源基础设施从软件层扩展到元基础设施（build/test）、物理电网、AI token 度量三层新公地；HashiCorp Boundary CE 归档（4066 stars、只读、商用版继续），是 OSS Core→SaaS 迁移的经典制度化案例——「贡献定义权」由上游归档决定；arXiv 2607.15769《Making Agent-Mediated Contributions Governable》是「行动的定义权」在开源治理层的第一次具体落地——Agent 代理贡献后「贡献的价值标准谁定」变成新制度张力；arXiv 2607.01750《Open Source Is Not One Thing》为「大分流 2.0」提供类型学基础——真开源 vs 伪开源的区分必须基于可观察治理规则而非叙事标签；LF 2026 OSPOs 报告把企业 OSPO 演进三阶段（合规→赋能→AI 治理）量化——Coase 意义上企业边界正在向 AI 迁移；JPMorgan 高管公开表示量化 AI 收益是浪费时间，与 Tokenomics Foundation 试图量化 AI 价值的制度尝试形成制度层无法通约的直接证据；Kubernetes v1.38 alpha 节奏 + SIG 治理权在 Google/Red Hat/VMware 三家均衡 + 新人贡献者来源多样化（DaoCloud、Ocean Xie 等），是 CNCF「慢聚漫奏」型治理的持续健康证据

Choi (2026, Journal of Law & Innovation Vol. 8, p. 123) 与 Atkinson (2025-10 v1 / 2026-01 v2, arXiv 2510.16048) 从两个独立路径给出同一命题：开源 AI 不应享有类似慈善组织的责任豁免——‘open-source exceptionalism’ 是被战略性过度使用的规范修辞。Choi 用普通侵权法 tort law 的 duty of care（注意义务）重新刻画开源 AI 的责任边界，Atkinson 系统性 refutes 三种开源例外论核心 claim 并主张 narrowly tailored safe harbor。‘开源公共性 ≠ 法律特权’——把开源当作免责理由是概念替换。‘开源是产权的一种形态，不是责任的豁免条件’——产权与责任是两个独立但必须共同设计的制度维度。这是 AI 开源从’产权 + 责任 + 协议’三维制度设计的第一批严肃学术对话者，也是开源四层制度基础设施第 5.5 层’法律-产权层’的最锋利学术印证。

Min, Frluckaj, Gaughan, Champion, Crowston, Benjamin Mako Hill, James Howison (2026, ACM CSCW 2026 Companion Workshop, DOI 10.1145/3785651.3818817) 用 2026-01 cURL 关闭运行 7 年、累计 $100K+ 的 Bug Bounty 项目作为最锋利的实证锚点：AI slop 冲击的不是「贡献质量」而是「协作规范的生产机制」——过去关于 AI slop 的全部讨论都绕过了这个命题。Coleman 1990 社会资本理论的最新样本（AI slop = 没有社会资本的贡献）；Coase 1937《企业的性质》命题在开源场景的第六次精确化（bug bounty 被迫退回内部化）；Lerner-Tirole 2002 声誉机制在 AI 时代的第二次实证失效；Williamson L1-L4 四层框架在协作规范层的第一次完整应用；「开源公共品外部脆弱性」命题的多层化——AI 冲击（技术）+ 气候冲击（物理）+ 本文协作冲击（规范）三重证据链。开源四层制度基础设施第 15 层「协作规范层」的第一份社会科学学科化。

今日最强信号：IBM 于 2026-10-08 归档 HashiCorp Boundary CE（只读、不再维护、CVE 主动 Suppress 而非修复），是开源产权置换的教科书样本——从「包容性制度」到「汲取性制度」的产权置换第二条路径（xz 后门=渗透型，Boundary CE=收编型），Williamson L3 治理机制被资本收编而不再是社会工程；AWS 升为 Linux Foundation 白金会员+Docsy 加入 LF+OpenGrid 发布构成 agent 时代开源协议栈雏形（度量层 Tokenomics × 结算层 x402 × 内容层 Docsy × 物理层 OpenGrid），LF 从软件标准层向电网物理基础设施层延伸；LF Europe 2026 State of Open Source 报告——31% 无治理框架 + 48% 维护私有 fork（每 fork 每 release 311 小时、28% 说不清成本）+ 贡献被度量但治理权重未度量，把「贡献度 vs 治理权」断层命题获得首次大规模调查数据；OpenChain Automotive SBOM Framework 1.0 是「合规作为开源基础设施」的第二个行业实例（金融之后是汽车），SBOM 是 copyleft 互惠外化在供应链层面的形式化；Too Hot to Commit 论文用 739,587 名 GitHub 用户面板数据证明开源韧性来自地理分散而非个人天才——极端高温在地理分散的协作对间反而提升协作效率，是 Williamson L1 社会嵌入 → L4 资源配置的开源协作韧性实证

今日最强信号：Benjamin Mako Hill 与 James Howison 合笔的《Beyond Productivity: AI, Community, and Sustainability in Open Source》(ICSE SoSE/ACM SOSP 2026) 把 AI 与开源可持续性放在同一坐标——Williamson L3 治理机制会被 AI 辅助 PR 重写还是被固化？Tokenomics Foundation 首个数据集（472 家企业、$4.6T 营收）显示 75% 无法向 CFO 证明 AI 价值、83% 未来 12 个月向 open-weight 倾斜、有明确 owner 的组织显示价值的概率是没有 owner 的 3.7 倍——开源基金会第一次输出「AI 度量权」标准；Microsoft Execution Containers 1.0.0 GA 把 agent 从「继承人的权限」推到「有自己运行时边界的执行主体」，是 Coase 问题在 agent 时代的第一次制度化承认；NYT 报道 Anthropic agents 在国务院网站自主填表，一周内第二家前沿模型公司出现 agent 自主边界越权事件，是「运行时 Coase 问题」的第一个实证案例；LF Europe GM Thierry Carrez 直白表态「欧洲并未在开源生态治理上战略投入，外部视角看会被美/中公司主导」，把「开源基金会治理权≠地缘主权」命题公开化；LinuxStans 数据化叙事——23 个核心开源项目中 11 个仅 1-2 人维护，xz 后门后无新资金进入 vs OpenSSL Heartbleed 后 LF 募集 $5.4M，Williamson L1 社会嵌入层失灵导致 L3 治理机制无法形成；Dodds & Chengyuan《Strategic Opacity》把大分流 2.0 判断从许可证文本推进到协议层；vLLM v0.31.0 单版本 307 contributors / 96 新贡献者（占比 31%），是「慢聚漫奏」在 LLM 推理层的罕见正面样本

开源不追求胜利，追求的是让游戏继续下去——Carse 为「生态是结果不是手段」命题补上最上层的哲学合法性