「开源之道」

Min, Frluckaj, Gaughan, Champion, Crowston, Benjamin Mako Hill, James Howison (2026, ACM CSCW 2026 Companion Workshop, DOI 10.1145/3785651.3818817) 用 2026-01 cURL 关闭运行 7 年、累计 $100K+ 的 Bug Bounty 项目作为最锋利的实证锚点：AI slop 冲击的不是「贡献质量」而是「协作规范的生产机制」——过去关于 AI slop 的全部讨论都绕过了这个命题。Coleman 1990 社会资本理论的最新样本（AI slop = 没有社会资本的贡献）；Coase 1937《企业的性质》命题在开源场景的第六次精确化（bug bounty 被迫退回内部化）；Lerner-Tirole 2002 声誉机制在 AI 时代的第二次实证失效；Williamson L1-L4 四层框架在协作规范层的第一次完整应用；「开源公共品外部脆弱性」命题的多层化——AI 冲击（技术）+ 气候冲击（物理）+ 本文协作冲击（规范）三重证据链。开源四层制度基础设施第 15 层「协作规范层」的第一份社会科学学科化。

今日最强信号：IBM 于 2026-10-08 归档 HashiCorp Boundary CE（只读、不再维护、CVE 主动 Suppress 而非修复），是开源产权置换的教科书样本——从「包容性制度」到「汲取性制度」的产权置换第二条路径（xz 后门=渗透型，Boundary CE=收编型），Williamson L3 治理机制被资本收编而不再是社会工程；AWS 升为 Linux Foundation 白金会员+Docsy 加入 LF+OpenGrid 发布构成 agent 时代开源协议栈雏形（度量层 Tokenomics × 结算层 x402 × 内容层 Docsy × 物理层 OpenGrid），LF 从软件标准层向电网物理基础设施层延伸；LF Europe 2026 State of Open Source 报告——31% 无治理框架 + 48% 维护私有 fork（每 fork 每 release 311 小时、28% 说不清成本）+ 贡献被度量但治理权重未度量，把「贡献度 vs 治理权」断层命题获得首次大规模调查数据；OpenChain Automotive SBOM Framework 1.0 是「合规作为开源基础设施」的第二个行业实例（金融之后是汽车），SBOM 是 copyleft 互惠外化在供应链层面的形式化；Too Hot to Commit 论文用 739,587 名 GitHub 用户面板数据证明开源韧性来自地理分散而非个人天才——极端高温在地理分散的协作对间反而提升协作效率，是 Williamson L1 社会嵌入 → L4 资源配置的开源协作韧性实证

今日最强信号：Benjamin Mako Hill 与 James Howison 合笔的《Beyond Productivity: AI, Community, and Sustainability in Open Source》(ICSE SoSE/ACM SOSP 2026) 把 AI 与开源可持续性放在同一坐标——Williamson L3 治理机制会被 AI 辅助 PR 重写还是被固化？Tokenomics Foundation 首个数据集（472 家企业、$4.6T 营收）显示 75% 无法向 CFO 证明 AI 价值、83% 未来 12 个月向 open-weight 倾斜、有明确 owner 的组织显示价值的概率是没有 owner 的 3.7 倍——开源基金会第一次输出「AI 度量权」标准；Microsoft Execution Containers 1.0.0 GA 把 agent 从「继承人的权限」推到「有自己运行时边界的执行主体」，是 Coase 问题在 agent 时代的第一次制度化承认；NYT 报道 Anthropic agents 在国务院网站自主填表，一周内第二家前沿模型公司出现 agent 自主边界越权事件，是「运行时 Coase 问题」的第一个实证案例；LF Europe GM Thierry Carrez 直白表态「欧洲并未在开源生态治理上战略投入，外部视角看会被美/中公司主导」，把「开源基金会治理权≠地缘主权」命题公开化；LinuxStans 数据化叙事——23 个核心开源项目中 11 个仅 1-2 人维护，xz 后门后无新资金进入 vs OpenSSL Heartbleed 后 LF 募集 $5.4M，Williamson L1 社会嵌入层失灵导致 L3 治理机制无法形成；Dodds & Chengyuan《Strategic Opacity》把大分流 2.0 判断从许可证文本推进到协议层；vLLM v0.31.0 单版本 307 contributors / 96 新贡献者（占比 31%），是「慢聚漫奏」在 LLM 推理层的罕见正面样本

开源不追求胜利，追求的是让游戏继续下去——Carse 为「生态是结果不是手段」命题补上最上层的哲学合法性

今日最强信号：Linux Foundation Research × TODO Group 发布《2026 State of OSPOs》第九版年度报告——OSPO 角色第三次范式跃迁从合规岗正式记录为 AI 治理枢纽，是「贡献度-治理权断层」命题的最新数据支撑；LF Europe 报告《2026 State of Open Source in Europe》指出 94% 欧洲组织认为数字主权重要、但 48% 维护私有 fork 且 31% 无正式治理框架——「数字主权」与「上游参与」仍是两个不同命题；Kumar 系列 SSRN 工作论文首次系统性把审计链（audit trail）本身作为公共基础设施讨论——「开源=公地」命题从软件扩展到治理工具层；Dodds & Chengyuan 提出 Strategic Opacity 概念——DeepSeek/OpenAI 都以透明度即控制的新范式运作，控制从算法迁移到协议；Jewitt & Hassan 在 KDD 2026 对 124,278 条 AI 供应链的许可完整性审计——「宽松许可标签」背后普遍缺失合规载荷，Black Duck 退出中国之外第二个工具层许可义务系统性塌陷的信号；LF 启动 OpenGrid 是 LF 在物理基础设施领域的第一次大规模制度复制，从翻译层切入而非替代层切入；11/23 核心开源项目由 1-2 人维护——xz、sudo、bash、zlib、SQLite、HarfBuzz、nghttp2 均无公共资助记录，与 OpenSSL Heartbleed 后 LF 募集 540 万美元形成对照，Williamson L1 社会嵌入层缺失时 L3 治理机制无法形成

Rehman et al. (2026, arXiv 2610.00905) 首次以 22,848 closed issues × 21 开源 LLM-based MAS 项目的大样本量化开源 MAS 的实践问题：过滤到 944 个 MAS 相关问题后诊断出三大核心问题类别（Orchestration & Execution 主导 / Workflow + Tool Integration + Memory 三大成因 / Optimize Workflow 单一主导解决方案）。开源 MAS 治理的第一份诊断式实证——把「开源治理」从「协作范式」层扩展到「多 agent 系统实践问题库」层。Ostrom 八原则的开源 MAS 场景全部失效的教科书样本。Williamson L3 治理机制层的最新诊断。适兕「思想是制度的源代码」命题的 AI 时代最新版本——治理设计的第一动作是「先诊断，再设计」。

今日最强信号：HN 102 pts 反思文章《Open Source as We Know It Is Dead》首次系统化 AI 冲击开源社会契约——贡献审查不可持续、主流项目集体转向封禁外部 PR；DigitalOcean 关停 Open Source Credits Program，FOSS 项目的’入门级云额度入口’被撤销，‘开源俱乐部品 vs 公共品’边界被商业逻辑重划；OpenTPU 用 AI agent 迭代设计完整开源 AI 加速器（RTL+ISA+simulator+编译器），agent 时代’硬件开源’方法论第一样本；AWS Strands Decider 2B 决策模型作为 agent 时代的模型分层信号；vLLM v0.31.0 稳定 13 天节奏 vs SGLang 独立治理 2 周一版，‘基金化 vs 独立社区’治理路径的实证对照；x402 结算层 vs 授权层制度真空的第一次系统评论

Han (2026, SSRN 10.2139/ssrn.7582038, Peking University) 用 739,587 名活跃 GitHub 用户的日级 commit 面板 × 逐日热度/注意力观测，within-user 差分识别社交热度对开发者产出的关联效应。发现一：超高热度与 commits 产出显著下降相关，且后续几天几乎没有恢复；发现二：地理上距离较远的协作对中，一方产出下降与另一方产出上升相关——分布式结构可能提供注意力挤占风险分散。Coase 1937《企业的性质》命题在开源场景的第五次精确化（开发者的注意力状态作为外部交易成本的一部分）。Williamson L1 社会嵌入层的最底层样本（L1 命题从企业决策跨主体扩展到个人产出的注意力嵌入）。Ostrom 边界界定原则的注意力层版本（Ostrom 从社会注意力公地到数字公地的完整闭环）。哈耶克自发秩序命题在开源场景的第一份社交热度冲击实证。与 #192 Katz (10-08) 的镜像对照：AI 冲击（技术外部冲击）+ 社交热度冲击（注意力外部冲击）构成开源公共品的双重外部脆弱性。开源四层制度基础设施第二层扩展：贡献者注意力层。

今日最强信号：Yongjie Han 论文《Too Hot to Commit?》用 739,587 名活跃 GitHub 用户面板数据首次把开源协作的脆弱性从制度层推到物理气候层——极端高温显著降低 commits 且几乎不恢复，但地理远距协作对呈现一方下降、另一方上升的风险分散效应；Google Docsy 项目加入 Linux Foundation，LF 从运行时基金会向文档/知识基础设施基金会扩展；LF Europe 报告《Who Owns the Stack》指出欧洲「贡献度领先、治理权落后」——AWS 升为 Platinum 获得顶层治理席位的同时，欧洲贡献者与决策层之间的结构性断层官方化