大分流2.0

科尔曼 1990 年用理性选择社会学证明：信任不是道德、不是文化直觉，是社会网络中反复解决问题时自发产生的副产品——它可以在社区里积累，也可以被抽走。GitHub 的 commit 历史是开源世界的声誉账本，每一次 PR、每一次 review 都在存入信任或支取信任。这不是《文明的教训》，是「开源是俱乐部品非公共品」命题最直接的社会理论背书。

奥斯特罗姆 1990 年用数十年跨文化田野研究证明：没有国家也没有市场，人依然能自组织地共同管理公共资源。她给出的八条设计原则——边界清晰、集体选择、监督、分级制裁、冲突解决、组织权认可、嵌套治理——是开源社区治理的直接理论来源。这是 2009 年诺贝尔经济学奖首位女性得主的标志性著作，也是开源制度分析工具箱里最关键的一根承重柱。

Kurtz & Krawiecka (2026, arXiv 2604.06148) 提出跨企业与地缘边界的 AI 系统机器身份治理分类法（MIGT）——企业环境中机器身份与人类身份的比例超过 80:1，单个未治理 Agent 在 2024 年 CrowdStrike 事件中造成 $5.4–10B 损失。四项原创贡献（AIRT 风险分类 + MIGT 六域框架 + 国家行为体威胁模型 + 跨辖区监管对齐结构），首次把「制度基础设施第五层：Agent 信任基础设施」从命题升级为可操作的治理框架。同时给出 EU/US/中国监管义务不可调和冲突的制度环境实证——「评价体系不可通约性」在监管层的复现。

Grgic, Maksimovic & Laskov (2026, arXiv 2609.05380, ARES 2026 Workshops) 提出软件供应链攻击的四阶段传播模型（结构暴露 → 漏洞类存在 → 代码可达性 → 污点路径分析），用 Syft / Trivy / cdxgen / Grype 四个主流开源 SBOM 工具对 Log4j 漏洞做实证——结果显示：开源 SBOM 工具系统性只覆盖 Stage 1 和 Stage 2，Stage 3 和 Stage 4 的能力在 SBOM 生态里根本不存在。这是开源合规审计『制度供给 < 制度需求』的第一个精确量化——也是 Black Duck 退出→信通院行政标准真空的技术实证注脚。

Otero & Verhulst (2026, arXiv 2609.01773) 提出 4Ps 框架，把「开放标准」与「开放治理」拆成两个独立维度：规格的开放不等于治理的开放。这是大分流 2.0 中『行政式开源=开放标准+汲取治理组合』最锋利的学术命名——『internal governance cannot solve alone an external structural problem』是全文最锋利的句子，也是治理决定论最有力的学术反驳。

Kim 等 (2026, arXiv 2609.05395, EMNLP Industry) 提出 KOPA-Bench——145 个真实韩国公开 API 多步任务基准，用 EDGE 数据合成框架把 9B 开源 LLM 拉到接近 27B 未微调模型水平。这是『数据主权法规反向驱动开源供给』的第一次实证：制度环境层（Williamson L2）绕过治理机制直接压 L4 技术栈，开源从审美偏好升级为合规义务——但开源的能力供给缺口尚未填上。

Mitic 等 (2026, arXiv 2609.01275) 首次把前沿 LLM 系统定义为『宪法性制度』，用 23 个前沿 LLM 原型 × 1649 名美国参与者的匹配审计，实证发现前沿 AI 的隐宪只覆盖公众价值需求的 ~2%——37% 的用户『宪法无处可归』。这是阿西莫格鲁『包容性 vs 汲取性制度』在 AI 价值层最锋利的实证：开源从『审美偏好』升级为『包容性制度的必要条件』，闭源主权不是代码，是宪法起草权。

艾克斯罗德在 1980 年的《合作的进化》用两场重复囚徒困境锦标赛发现：在最简策略『一报还一报（Tit for Tat）』胜出的那一刻，开源社区治理的四个制度属性——善良性 / 可激怒性 / 宽容性 / 清晰性——被一次性锁定。这本书不是《文明》里的道德训诫，是开源治理机制的设计原型：copyleft 的报复性、meritocracy 的清晰性、治理结构的宽容性，全都源自同一个演化实验。

科尔奈（1998 诺奖）用一本『非常规自传』回答一个更根本的问题：一个社会学家/经济学家的信念如何被制度反复塑造、如何崩塌、如何被一种『保持移动』的方式重新接住——Keep Movement 是适兕开源之道的方法论原型，来自这本书。