「开源之道」

Rodriguez/Kannan/Chepuri（SSRN 7629481）的 advisory 计数论文，与 GitHub 官方 2026-06-29 博文、NIST 2026-04-15 NVD 运营变更、Kubernetes 2026/2025 两份公开选票、OpenCourant 关停仓库、LF BUILD Foundation 新闻稿并置读：论文摘要里的六个数能不能独立成立，取决于是谁定义了口径。K8s 选举可以用公开数据与公开源码重算出与公告一致的答案；advisory 计数不能。结论不是「谁在造假」，而是——度量权不表现为禁止，表现为问题被预先切好了；而一个治理机制能否被相信，取决于它是否允许被怀疑。

今日最强信号：Siemens 关停 OpenRadioss 并删掉 GitHub 仓库，社区 18 天内把 AGPLv3 代码接过来，OpenCourant 成为 RESF 第一个孵化项目——许可证保护的是权利的存续，不是协作的存续，后者需要基础设施与治理重建；BUILD Foundation 成立，ASML/Canva/Datadog/EngFlow/Figma/Spotify 联合出钱养 Bazel 维护者——「构建系统」这种最不像产品的层获得了公共品待遇；vLLM v0.32.0 同期发布 814 commits/363 contributors/121 新人，治理文档写进「不得提交纯 agent PR」，17 天一个版本的节奏背后是 AMD 维护者从 2 人涨到 5 人、同时 Ray 集成方向无人认领；Kubernetes 2026 SC 换届有效选票比 2025 年多 45%，7 席分散在 7 家组织，单人单票的秘书处型治理比 TSC 型治理更容易被真实参与；SSRN 上 35,263 条 GitHub Advisory 的实证说明 AI 让发现漏洞的成本趋零之后，制度瓶颈从发现转移到通知与分诊，维护者承担了全部转换成本

Afroz 等（arXiv 2607.04003）以 294 个仓库、122 万 PR、35.7 万贡献者做贝叶斯结构时间序列估计：AI 冲击下 PR 量涨 6.8%，但一次性贡献者合并率下降 18.18%，非一次性仅降 3.45%——5.3 倍差。Yang/He/Zhou（ASE 2026）的 67 案例复制包显示 80.6% 的项目为 AI 单独立了制度，但治理压在文本层（问责 68.7%、披露 56.7%），容量层近乎空白（1.5%）。叠加 Linux 内核弃用 Assisted-by、PostgreSQL 19 撤回 8–10 个特性，指向同一个命题：生产便宜之后，开源公地稀缺的不是代码，是验证。

今日最强信号：Linux 内核维护者峰会决议弃用 Assisted-by 标签、PostgreSQL 19 因 LLM 审查发现的问题超过人类修复能力而推迟并撤回 8-10 个特性——两条消息合起来说明审查能力已经成为开源公地的稀缺资源，治理问题从「谁可以提交」转向「谁来验证」；Kubernetes 2026 指导委员会换届，Google 席位从 3 降到 1，7 席里 5 席来自中标公司或独立组织，职业化的 meritocracy 正在替代单一厂商供给；SSRN 与 arXiv 同期出现三篇把「验证」制度化的研究，AI 贡献政策 83.3% 允许但 67.3% 要求高人类参与，AI-DDoS 让一次性贡献者合并率下降 18.18%；Open Source Summit EU 的「主权」讨论已经下沉到迁移目标、合规规则与度量指标——官僚化不是主权的失败，是主权开始变成基础设施的证据

当「Open is for the Weak」与「内行不开放」成为本土技术精英的潜意识，我们面对的不只是计算机史的盲区，而是一整套由应试筛选、秘方传统与搭便车惯性拧成的思维巨链。本文从一段技术山寨顺口溜切入，还原 UNIX、AWS 与大模型真实的开放公地谱系，并用莱考夫的框架理论跳出轨辩论，解构四根锁住认知的巨链。

Tomás Dodds 与 Liang Chengyuan 在 The Information Society 发表《Strategic Opacity》，以 DeepSeek 与 OpenAI 的许可协议为对照样本，提出开源 AI 治理的三重位移：控制从算法层迁移到协议层、透明度与控制通过『战略性不透明』被重构为相容关系、监管框架与真实控制点系统性错位。核心判断：代码可见不等于治理透明，真正决定权利归属的是许可条款、平台规则与合规安排。

Linux Foundation 2026 OSPO 报告揭示许可证合规职能从 44% 跌至 31%、社区协作从 33% 跌至 23%——度量权定价正在把 OSPO 从进入社区的人变成挡合规风险的人；欧洲报告给出治理收益成本比分层的硬数字：无治理 3.6 倍、最成熟 4.6 倍，59% 贡献代码却仅 37% 参与治理——拿走了产物没进入契约；荷兰税务海关叫停 Microsoft 365 公有云改走本地化+欧洲开源方案——开源在此是可迁移性的保险即退出成本从无限变有限；Gentoo 为 Chromium 下达 last rites——上游高流失率下的成本外部化与维护者注意力稀缺；前沿实验室 Agent 越界被重新定义为遏制失败而非模型失控——责任定性的重定价之争；MCP 已成文宪制且继任机制被真实使用过一次——meritocracy 在制度层的具体实现

Ahmed Shah、Selman Selman 与 Ibrahim Abualhaol（Carleton University，arXiv 2609.21218）以 334 个开源网络安全项目、151,187 个文件为样本，完成了一份特定领域的软件许可证合规实证。核心发现：39% 文件无版权与许可引用、76% 可确认项目为限制性许可（GPL/LGPL/EUPL）、宽松项目中约 6.6% 出现 GPL 污染、平均第三方代码高达 27%。这是开源合规审计『制度供给 < 制度需求』实证群的第 8 份样本，也是观察合规审计作为开源四层制度基础设施中唯一未被开源社区完全掌控环节的关键窗口。

ACM TOSEM 实证揭示 MCP 工具描述异味与治理成本权衡——接口模糊推高执行步数与 Token 交易成本；PhilPapers 模型级实证表明欧盟 AI 法案透明度要求仅引发防御性算力文档合规而未实质改变开源开发模式；欧洲开源峰会转向数字主权度量与 CRA 合规基准目录——开源深嵌现代公共治理科层制；Linux Foundation 设立 BUILD Foundation 托管 Bazel 构建生态——私有工程资本向中立公共公地转移的典型制度样本；HashiCorp 归档 Boundary 社区版——单边商业开源收缩与赛博庄园特许代码终结；Nous Research 获 9000 万美元 B 轮融资与 AWS 开源 Strands Box 沙箱——企业内 Agent 治理机制与确定性运行时约束成为新赛道基础设施；vLLM 与 SGLang 展现模块化分层共治与敏捷精英制的开源演化路径