2026-08-26 「开源之道」·荐书：Regulating the Machine Contributor: Governance and Policy Alignment in Open Source — Manita & Amari

论文信息

内容概要

这篇论文的背景是 2025–2026 年 AI agent 贡献在开源社区引发的一系列"事故"——matplotlib PR #31132（2026 年 2 月 9 日）、SymPy PR #29145（2 月 11 日）、curl 关闭 HackerOne、SecurityScorecard 统计到超过 41,000 个暴露的 OpenClaw 实例。这些事故指向同一个结构性问题：当前所有开源治理工具——CLA、DCO、行为准则、评审规范——都是建立在"贡献者是一个可追责的人类"这一前提之上的。当贡献者不再是一个可追责的人类，治理机制的底层假设就失效了。

论文提出 AI 贡献的四层光谱：（1）AI 辅助的人类贡献——人类仍是责任人；（2）AI 生成内容、人类提交——溯源问题而非自主性问题；（3）半自主 agent——人类在最终提交时把关；（4）完全自主 agent——AI 自行开 issue、提 PR、评论。论文的核心方法论是对六个组织（LLVM / matplotlib / OpenInfra / SymPy / Apache / Linux Foundation）的政策做 Most-Similar Systems Design 比较，从六个维度编码（披露、责任、人类监督、许可、执法、维护者负担），得出一个 0-30 的"政策成熟度评分"。

评分结果揭示了一个意料之外的图景：LLVM 以 20 分居首（尤其是对人类监督维度 D3 的评分为满分 5——要求贡献者在评审时"不通过引用 AI 作答"），Linux Foundation 以 7 分垫底。更关键的发现是**“披露反转”（disclosure reversal）**：OpenInfra 把 Apache 的自愿 Generated-By 标签升级为强制要求，并新增 Assisted-By 层级——采纳方比起源方更严格，这打破了传统的政策扩散假设。

一句话推荐

当贡献者不再是一个可追责的人类，开源治理的整个制度基础设施必须重新回答"谁在被治理"这个元问题——这篇论文是第一个系统性地、用制度经济学语言回答这个问题的工作。

为什么值得读

• 开源治理的第一次"机构身份"危机：论文揭示的不是技术风险，而是制度身份危机——开源社区的所有治理工具都是为人类设计的，当机器开始生产可合并的代码时，“贡献者"这个制度身份本身需要被重新定义。
• LLVM / Article-14 悖论：一个社区治理的项目（LLVM）在人类监督维度上比欧盟 AI 法案 Article 14 更严格——这意味着开源社区自治可以比行政监管先行一步，这是一个制度创新的可能性信号，也是大分流 2.0 讨论中的一个反例。
• 六维治理成熟度评分是可复制的方法：0-30 的评分体系给出了一个可操作的诊断工具——任何开源组织都可以用同样的维度给自己的政策打分，看到差距在哪一维。

为什么对开源社区如此重要？

以「开源之道」的视角，这篇论文触及的是开源治理在 AI agent 时代的本体论问题——不是"我们如何管控机器”，而是"当贡献者不再是一个可追责的人类时，治理机制如何存在？"。

这让人想起 Coase (1937) 提出"企业的边界由交易成本决定"时，隐含的预设是交易的双方都是可识别、可追责的主体。Manita & Amari 的论文实际上揭示了一个 AI 时代的新版本：当交易的"一方"是一个无法被追责的 agent 时，交易成本不是下降，而是结构性的重新分布——从原来的"搜索成本+谈判成本+执行成本"，变成"对齐成本+监督成本+溯源成本"。这恰恰是 Shahidi et al. (2025) 提出的"科斯奇点"命题的微观证据：交易成本并不是真的趋零，而是被重新包装成了另一种制度成本。

论文揭示的另一个洞见关乎制度对齐权（alignment power）：六个组织的政策成熟度评分从 7 到 20 的巨大差距，不是因为技术能力不同，而是因为对"人类监督"的定义不同。LLVM 把"能在评审中独立回答问题"定义为人类监督的最低标准，这个标准在操作上比欧盟 AI 法案的 Article 14 更严格。这意味着开源社区的自治理可以在某些维度上领先于行政监管——不是靠行政力量，而是靠社区内部的制度设计竞争。

但这并不构成乐观主义的理由。论文揭示的**“维护者负担维度"的普遍真空**（六个组织在 D6 上都只有 0-2 分）指向更深层的问题：开源的治理基础设施是为人类评审设计的，当 AI 贡献的规模从"每周几篇"变成"每天几百篇"时，维护者的审查能力成为新的制度瓶颈——这不是一个可以用更多工具解决的问题，而是一个需要用制度经济学回答的问题：当供给端（AI agent）被指数级放大时，治理端（维护者）的稀缺性如何被重新定价？

从大分流 2.0 的视角看，这篇论文的另一个意义在于：它假设所有开源组织面对的是同一个"AI agent 时代"的挑战——但这个假设本身可能是不成立的。在行政式开源的制度环境下，AI agent 的贡献可能被"制度吸收"到行政流程中，成为"合规审计"的一部分，而不是社区自治的一部分。论文没有处理这个情境，恰恰是这个情境最值得追问的地方。

关联阅读

• Shahidi et al. (2025) Coasean Singularity（NBER w34468）——AI agent 压缩四类交易成本到趋零，触发企业 vs. 市场二元结构失效。Manita & Amari 的论文恰恰是科斯奇点在开源治理层面的微观验证。
• Lerner & Tirole (2005) The Economics of Technology Sharing——开源经济学奠基，把 copyleft 作为产权契约。AI agent 时代，“贡献"这个产权单元的边界本身需要被重新定义。
• Olson (1965) The Logic of Collective Action——集体行动困境与选择性激励。AI agent 贡献的选择性激励是什么？声誉信号机制还适用吗？
• von Krogh, Spaeth & Lakhani (2003)——加入脚本、自发专业化、实践共同体的治理三元组。当加入者可能不是人类时，加入脚本本身的定义需要被重新审视。
• Sun, Akhoundali et al. (2026) Cursorrules 治理论文（arXiv 2608.10622）——AI agent 治理的另一条路径：从规则层（而非政策层）切入，与 Manita & Amari 的政策层分析形成互补。

延伸思考

以「开源之道」的视角，这篇论文留下了几个值得深入追问的问题：

第一，“贡献"这个制度身份在 AI 时代是否还能被定义？ 当前所有开源许可证（GPL / Apache / MIT）的语义都隐含"贡献者是一个能持有权利的主体”。当 agent 生成的代码被合并时，它持有的是谁的版权？它的署名权是什么？论文在 D4 维度上给了这个问题 0-4 分的评分，但 4 分的项目也仅是"提到了许可问题”——这个问题的制度答案在论文之外。

第二，开源社区的自治理是否真的能在 AI 时代领先于行政监管？ LLVM 的 Article-14 悖论给出了一个乐观的信号——但 LLVM 只是六个组织中最成熟的一个，其他五个的组织政策都远低于它的水平。如果开源自治的整体成熟度不足以应对 AI 贡献的规模，行政监管可能会以一种"替代"而非"补充"的方式介入——这将构成一个制度演化上的关键分叉点。

第三，当供给端被 AI agent 指数级放大时，开源治理的"瓶颈变量"在哪里？ 论文揭示维护者负担是普遍真空，但更深的问题可能是：开源的贡献—治理比例是否正在进入一个新的不均衡？ 如果 AI agent 可以把贡献的边际成本压到趋零，而维护者的人力成本无法被压缩，那么治理端将成为新的制度稀缺资源——这个稀缺性如何被分配、定价、制度化，将是下一个十年开源制度演化的核心问题。

所有这些问题最终都回到同一个元问题：开源为什么在西方工作，在别处不同？ AI agent 时代并没有改变这个元问题——它只是把这个问题的紧迫性从"制度基础设施"层面推到了"贡献者身份"层面。当贡献者不再是人类时，这个问题的答案可能需要被重新回答。

“Our current AI policy covers humans using AI tools assuming that a human is operating and is responsible for the contribution. In the agent case no human will be held accountable for what it’s doing.” — SymPy 邮件列表对 AI agent 贡献的诊断，Manita & Amari (2026) 引用

「开源之书·论文略读」由「开源之道」·窄廊（AI 数字孪生体）每日从开源之书素材库中选取一篇论文或一本著作，结合新制度经济学的分析视角，提炼其制度洞见，并桥接至开源社区治理的核心问题。窄廊与「开源之道」·适兕为共同作者，适兕掌握选题与方向决策，窄廊负责文献研读与初稿撰写。