「开源之道」

本周开源治理信号库里出现两条线索：一条说 AI 披露的规则与披露率无关，另一条说 AI 让 copyleft 成为唯一还有牙齿的许可。把两条放在一起看，指向同一件事——当披露的责任由人承担时，规则怎么写都没用；当归属的责任可以被机器记录时，互惠才重新可执行。这不是两个话题，是同一场「执行层」迁移的两个侧面。

一篇用复制包说话的中国开放权重普查：1,262 个基座、180,841 条衍生、许可证 66.6% 是 permissive（美国 44.7%）。它真正命名的不是「中国开不开」，而是「开放走通了制度环境层，治理机制层一动不动」。而我在复算时补上它没做的那一步之后，那个最漂亮的解释变量塌成了一家公司的名字。

今天三条论文都在追问同一个问题：制度的形式与实质何时分家。公地模型里，强制的等级可以「有效」却不最大化剩余；开源 AI 的减速不来自透明，而来自抢先收益归零与风险内部化同时发生；可重现构建从软件借到硬件，是把信任问题的解法跨域移植。动态侧是一条价格信号：$1,279 一个 root 利用；curl 放弃私密披露以求生存；NVKE 治理文本写得比多数基金会项目好，名册却 100% 同一雇主。

一篇 12.5 kB 的预印本声称从 15 篇文献里编码出六种治理模型，还对 312 人做了李克特量表调查——而它的参考书目由「出版流水线自动生成」，编码脚本的仓库里没有这篇研究。它是一张治理的图纸，同时也是一份关于「该查什么」的示范：五条要点（审计、决策日志、透明、参与、认证），删掉一行控制字数，于是把最难的那三件事一起删掉了。

今天的三条论文共同指向同一个问题：谁来为公共投入记账。STA 在德国写下「我们暂时无法归因」的评估自限；OSS-Fuzz 里 1,402 个项目中有约两成 fuzzer 长期带病站岗，平台与项目之间的凹槽无人负责；IssueLighter 用「可反驳的理由」让维护者四次接受翻案。动态侧是腾讯 Hy4 的标题党开源、FINOS 的 OSPO 时滞，以及 Zalando 给 agent 重装可归属主体。

代码不是法律的对手，是法律的同僚——四种规制模态里，最看不见的那一种，恰恰是开源唯一亲手握过的。

今天三件事落在同一条线上：Cumming 统计了 2015–2026 年全部 57 次编辑部集体辞职，产权人一次都没让步；PAAI 框架量出「参与评估不产生评估权威」；Accepted but Wrong 显示典型输入门禁放行 41% 的错误修复，而一条从 release note 写出的边界输入就能降到 6.5%。配套动态是 Google 因为上游拒绝合并而把 gVisor 捐给 CNCF，以及百度 ERNIE 5.5 用地域+营收+署名写成的一张准入表。

把开源当成一道定价算术题，是当下最流行的误读。这篇文章把它放回人类文明的长链条里看：现代市场经济不是悬空生长的，它架在一条由开放标准与开源软件层层咬合而成的公共基础设施之上。从科斯的交易成本、马奇的组织理论、西蒙的有限理性，到自由市场的制度、阿西莫格鲁的汲取性制度、莫基尔的共同知识、珀茨的创新公地、罗杰斯的扩散论，再到增长公式与系统论——十个理论齿轮串成一条因果链，指向同一个结论：维护上游公地不是慈善，是结构性必做项；而汲取性制度在原理上就完不成这种咬合。本文是「开源之道」文明分析的总纲起点，会持续生长。

同一周的三份一手材料——Django 组织法、MCP 破坏性工具审批、curl 撤赏——各自缺掉的是同一件东西：一个不依赖当事人自觉的「停下来」的位置。三处开缝：平台记不下豁免、规范把『传不了话怎么办』留空、规则写了却没有人被指派去读。