「开源之道」

Tomás Dodds 与 Liang Chengyuan 在 The Information Society 发表《Strategic Opacity》，以 DeepSeek 与 OpenAI 的许可协议为对照样本，提出开源 AI 治理的三重位移：控制从算法层迁移到协议层、透明度与控制通过『战略性不透明』被重构为相容关系、监管框架与真实控制点系统性错位。核心判断：代码可见不等于治理透明，真正决定权利归属的是许可条款、平台规则与合规安排。

Linux Foundation 2026 OSPO 报告揭示许可证合规职能从 44% 跌至 31%、社区协作从 33% 跌至 23%——度量权定价正在把 OSPO 从进入社区的人变成挡合规风险的人；欧洲报告给出治理收益成本比分层的硬数字：无治理 3.6 倍、最成熟 4.6 倍，59% 贡献代码却仅 37% 参与治理——拿走了产物没进入契约；荷兰税务海关叫停 Microsoft 365 公有云改走本地化+欧洲开源方案——开源在此是可迁移性的保险即退出成本从无限变有限；Gentoo 为 Chromium 下达 last rites——上游高流失率下的成本外部化与维护者注意力稀缺；前沿实验室 Agent 越界被重新定义为遏制失败而非模型失控——责任定性的重定价之争；MCP 已成文宪制且继任机制被真实使用过一次——meritocracy 在制度层的具体实现

Ahmed Shah、Selman Selman 与 Ibrahim Abualhaol（Carleton University，arXiv 2609.21218）以 334 个开源网络安全项目、151,187 个文件为样本，完成了一份特定领域的软件许可证合规实证。核心发现：39% 文件无版权与许可引用、76% 可确认项目为限制性许可（GPL/LGPL/EUPL）、宽松项目中约 6.6% 出现 GPL 污染、平均第三方代码高达 27%。这是开源合规审计『制度供给 < 制度需求』实证群的第 8 份样本，也是观察合规审计作为开源四层制度基础设施中唯一未被开源社区完全掌控环节的关键窗口。

ACM TOSEM 实证揭示 MCP 工具描述异味与治理成本权衡——接口模糊推高执行步数与 Token 交易成本；PhilPapers 模型级实证表明欧盟 AI 法案透明度要求仅引发防御性算力文档合规而未实质改变开源开发模式；欧洲开源峰会转向数字主权度量与 CRA 合规基准目录——开源深嵌现代公共治理科层制；Linux Foundation 设立 BUILD Foundation 托管 Bazel 构建生态——私有工程资本向中立公共公地转移的典型制度样本；HashiCorp 归档 Boundary 社区版——单边商业开源收缩与赛博庄园特许代码终结；Nous Research 获 9000 万美元 B 轮融资与 AWS 开源 Strands Box 沙箱——企业内 Agent 治理机制与确定性运行时约束成为新赛道基础设施；vLLM 与 SGLang 展现模块化分层共治与敏捷精英制的开源演化路径

Luhmann 一句话直击开源治理的核心：被命令去信任的信任，已经不再是信任——行政动员在系统论层面就不兼容开源

Harish Kumar 提出 verification asymmetry 命题——AI 治理时代判断开源的界线不在代码分发条件而在验证权归属生产者与否，直接以 EU AI Act/CRA/eIDAS 法条文支持；LF BUILD Foundation 6 家头部企业同日入会（ASML/Canva/Datadog/EngFlow/Figma/Spotify）把 Bazel 从 Google 内部工具制度化为全球公地，EngFlow 抽成→回馈路径对应 copyleft 互惠外化；AWS 升为 LF 第 4 家 Platinum 成员使「基金会托管」制度选项在云领域饱和，争夺转向 BUILD/OpenGrid/Tokenomics 等新层基金会；HashiCorp Boundary 归档继 Terraform/Vault 许可变更后再一层 IAM 开源退出——代码归档比许可证变更更硬，把贡献变得不可执行；荷兰税务机关 M365 转向进入 2027 本地部署执行阶段，与 LF Europe 数字主权叙事对照；79% OSPO 已参与 AI 治理、欧洲治理成熟组织 4.6x ROI vs 无治理 3.6x 把治理成熟度变成有价格差的可观察变量；Transformers v5.20.0 保持 10 天节奏、K8s v1.38 alpha.2 四 LTS 并行维护，两条慢聚漫奏样本持续验证包容性制度

Ouf & Hussein (2026, arXiv 2607.01750, Queen’s University + University of Ottawa) 用一份 3,925 篇论文的多源筛选，把过去三十五年「当作同一种东西」的开源软件重新剖分为 14 种 sub-genres，从 community-driven、company-backed、foundation-governed 到 multi-company co-opetition、protestware、open-source appropriate technology。核心命题不是「开源有 14 种」，而是——「sub-genre 决定外部效度」：任何关于开源的实证结论必须先声明抽样的 sub-genre，否则结论不可推广。这是过去所有开源经济学实证研究（包括 Lerner-Tirole 2002、Weber 2004、Benkler 2006、Coleman 2013 等）的一个方法论前置条件补齐。开源四层制度基础设施第 15 层「类型学层」的第一份实证：类型学层比「分类权层」「治理权地理分布层」「贡献者边界层」都更基础——没有类型学，其他层的命题都失去操作对象。

荷兰税务与海关总署取消 Microsoft 365 云迁移、转向本地开源方案，是「开源作为主权工具」命题的第一个可核验制度案例——四项具体制度要求（Double Key 加密、E2E 默认、反锁定、退出策略）驱动的制度决策，不是笼统的国家叙事；LF 三项目同周成立（BUILD Foundation、OpenGrid、Tokenomics Foundation），把开源基础设施从软件层扩展到元基础设施（build/test）、物理电网、AI token 度量三层新公地；HashiCorp Boundary CE 归档（4066 stars、只读、商用版继续），是 OSS Core→SaaS 迁移的经典制度化案例——「贡献定义权」由上游归档决定；arXiv 2607.15769《Making Agent-Mediated Contributions Governable》是「行动的定义权」在开源治理层的第一次具体落地——Agent 代理贡献后「贡献的价值标准谁定」变成新制度张力；arXiv 2607.01750《Open Source Is Not One Thing》为「大分流 2.0」提供类型学基础——真开源 vs 伪开源的区分必须基于可观察治理规则而非叙事标签；LF 2026 OSPOs 报告把企业 OSPO 演进三阶段（合规→赋能→AI 治理）量化——Coase 意义上企业边界正在向 AI 迁移；JPMorgan 高管公开表示量化 AI 收益是浪费时间，与 Tokenomics Foundation 试图量化 AI 价值的制度尝试形成制度层无法通约的直接证据；Kubernetes v1.38 alpha 节奏 + SIG 治理权在 Google/Red Hat/VMware 三家均衡 + 新人贡献者来源多样化（DaoCloud、Ocean Xie 等），是 CNCF「慢聚漫奏」型治理的持续健康证据

Choi (2026, Journal of Law & Innovation Vol. 8, p. 123) 与 Atkinson (2025-10 v1 / 2026-01 v2, arXiv 2510.16048) 从两个独立路径给出同一命题：开源 AI 不应享有类似慈善组织的责任豁免——‘open-source exceptionalism’ 是被战略性过度使用的规范修辞。Choi 用普通侵权法 tort law 的 duty of care（注意义务）重新刻画开源 AI 的责任边界，Atkinson 系统性 refutes 三种开源例外论核心 claim 并主张 narrowly tailored safe harbor。‘开源公共性 ≠ 法律特权’——把开源当作免责理由是概念替换。‘开源是产权的一种形态，不是责任的豁免条件’——产权与责任是两个独立但必须共同设计的制度维度。这是 AI 开源从’产权 + 责任 + 协议’三维制度设计的第一批严肃学术对话者，也是开源四层制度基础设施第 5.5 层’法律-产权层’的最锋利学术印证。