2026-10-30 「开源之道」·论文略读：写在别人代码上的主权

报告信息

一句话推荐

这是「数字主权」从政策修辞落到组织行为层的第一份大样本实证——而它最有分量的发现不是欧洲多需要开源，是欧洲在别人的项目里写得很多、在决定规则的地方坐得很少，且它自己也承认那道门槛，政策文件跨不过去。

内容概要

报告把三条看似独立的线拧成一条：AI 对开源生态的冲击、欧洲组织的开源治理成熟度、数字主权从「谈资」到「运营指令」的转变。作者的原话是三者「不是三个故事，而是同一个能力缺口的三个视角」（Executive summary, p.5）。

第一层是 AI 的双向效应。94% 的欧洲组织已经在用或试点生成式 AI 编码工具；48% 报告因此更多地使用开源库与框架，只有 5% 报告更少；76% 说 AI 工具让他们从既有开源里获得更多价值。但报告不接受「AI 对开源是好事」这种简版结论——访谈给出的两条阴影是分叉风险（资源充足的大项目受益，长尾小项目被抽空）与治理滞后（欧洲写下了大量 AI 系统背后的代码，却不在为这些 agent 制定标准的房间里）。维护侧的答案更保守：只有 55% 的组织用过 AI 加速开源维护，作者判为「真实但不均匀、远比使用与贡献不成熟」。

第二层是治理成熟度，报告称其为贯穿全文的线索。按 TODO Group 五阶段 OSPO 成熟度模型分档，欧洲分布为：无正式治理 31%、合规与清单 32%、社区教育 12%、主动项目领导 17%、战略领导 8%。相对世界其他地区，欧洲在两端都落后——多 12 个百分点完全无治理，少 6 个百分点达到战略领导。而在欧盟总部公共部门那 31 家样本里，没有任何一家处在一阶段「合规与清单」，占比最高的答案是「没有任何正式治理」（15/31，48%）。

第三层是能力与行为的强耦合。无正式治理的组织中，30% 会向上游贡献代码；治理成熟的组织是 87%。直接参与项目治理的比例从 18% 升到 78%，维护私有 fork 从 29% 升到 75%。唯一反向的指标是「原样直接用、不做任何修改」——基础成熟度组 91%，高级组 82%。回报随能力上升：无治理 3.6 倍收益成本比，高级治理 4.6 倍，欧洲均值 4.1 倍，而上游贡献本身「回报 2.3 到 3.3 倍」。报告的判词很克制：这些都不证明治理导致了更高回报，但每一个测量方向上都是同一个方向，因此它反对把治理投资当成与开源收益相竞争的合规成本。

第四层是主权与钱。94% 的欧洲组织认为数字主权对其技术战略重要，61% 认为非常重要；驱动因素以安全与隐私居首（71%），供应商锁定与成本风险次之（55%），而「推进国家或区域利益」在欧洲比世界其他地区高 12 个百分点（以欧洲均值 47% 计）。欧盟 2026 年 6 月 3 日的 Tech Sovereignty Package 中，Open Source Strategy 承诺七年 20 亿欧元，设立 EU OSPO Network 与 Digital Commons EDIC，并划出 5 亿欧元投向开放 RISC-V 硬件。报告紧接着给了对照数：欧洲公共部门每年在专有 IT 上的支出约 2640 亿欧元。作者写得毫不含糊——「20 亿七年，对着 2640 亿年支出，看起来不像战略，更像一个四舍五入的零头」，除非配套的 OSPO、被执行的采购规则与真正开得起来的 EDIC 同时出现。

为什么值得读

• 它把「治理」从口号变成了可测的横轴：同样一套开源技术，无治理组织报 3.6 倍，高级治理组织报 4.6 倍。数字本身要打折扣（见下文），但「治理成熟度几乎与报告考察的一切相关」这个结构发现，是过去关于开源的讨论里最缺的一块。
• 它量化了那道最要紧的门槛：59% 贡献代码、37% 参与治理。22 个百分点的落差不是态度问题，是资格问题——写代码是进入，定规则是归属。
• 序言本身就是一手材料：Greg Kroah-Hartman 写下 Linux 内核过去九个月涌入的 LLM 报告——工具声称发现数百个 bug，经懂代码的人复核后「几乎总是错的」；每周 CVE 从工具潮之前的平均 55 个涨到 230 个；他带着阿姆斯特丹自由大学的研究生做了测试，即便最好的工具，产出的变更也近一半是错的，并给出明确主张：验证的负担应当落在提交者身上，不是落在接收者身上。这一句话，比全文任何一张图都更接近 2026 年开源协作的真实痛点。
• 它敢承认自己的方法边界：ROI 与治理的相关性被明确写成「不证明因果」；图 9 的样本也缩到 n=87。这句自陈既是科学诚实，也是整份报告最容易被忽略的一句警告。

为什么对开源社区如此重要

以「开源之道」的视角看，这份报告的分量不在「欧洲数字主权」这个政策话题，而在它无意之间暴露了开源治理的分层结构，以及钱在哪一层最不管用（Williamson 的四层框架在此可以用得极准）。

L1 社会嵌入层已经成立，且成立得比想象的深。 94% 认定主权重要，52% 偏好「基金会托管、中立治理」的项目，领先世界其他地区 8 个百分点。这不是态度调查的客套——报告有一句更凌厉的：欧洲主权成功的层次是基础设施层（云、容器、数据本地化），落后的层次是 AI 层。原因写得清楚：开源当年最根本的作用是把生产资料交到任何有台电脑、愿意学习的人手里；而在 AI 里，生产资料本身是模型，训练它需要的资本开支、能源与人才，「一台笔记本加一个周末」供不出来。作者由此得出一个不讨喜的结论：使开源最初得以成功的低资源协作方式，并不容易迁移到 AI 时代。

L2 制度环境层正在被强行注入，但注入的方式值得警惕。 Tech Sovereignty Package 是「世界范围内第一次有主要立法把开源公开押为战略自主的支柱」。这句话是真的，也是这批数据最有制度史价值的地方：它不是企业自发行为，是立法与采购规则在下游拉动。但同一章里还有一句必须与它并读——欧盟 AI Act 对通用开源模型的豁免，在风险最高的地方恰好消失：高风险系统不适用任何开源豁免，自 2026 年 8 月 2 日起需完整合格评定与 CE 标识。报告的判断很锋利：「豁免在最不需要主权的场景最慷慨，在最需要主权的场景完全蒸发。」

L3 治理机制层，才是那道门槛真正所在。 22 个百分点的落差在这里第一次被量化。而报告给出的六个解释——思维差距（把开源当免费投入而非战略杠杆）、资本结构错配（欧洲碎片化市场攒不出单一平台企业那样的治理权重）、能力缺口（没人被派去做社区角色）、采购路径依赖（几十年外包侵蚀了内部理解）、竞争性委托人（一个部委、一个主要出资方、一家美国母公司定了方向，就没留任何人的授权去代表组织在项目治理里发声）、价值链盲视（把软件当可购买的产品而非参与其中的供应链）——六条没有一条是「技术不够」，全是制度。

其中「竞争性委托人」值得单独停留。它说的是：当一个组织内部存在更高位的委托人时，代表组织进入开源治理的授权会自动消失。这正是 Coase 意义上的内部化选择——不是组织不愿意外部化，是它内部根本没有可授权的代理位置。这也解释了为什么「31% 无治理」在欧盟总部公共部门升到 48%：不是公务员不重视开源，是没有任何岗位被授权去「代表组织出现在别人的治理结构里」。

L4 资源配置层，是这份报告最诚实的自打脸。 20 亿欧元对 2640 亿欧元年支出。作者没有替政策辩护，反而把话说完：这笔钱只有在能运转的 OSPO、被执行的采购规则、真能开起来的 EDIC 同时出现时，才会从零头变成战略。用制度经济学的语言：资源投放若没有对应层级（L3）的治理机构承接，会退化为可计价、可审计、可发布成果的活动——也就是同一份报告里那个刺眼的结构：无治理组织贡献率 30%，高级治理组织 87%，而「原样使用」恰在最基础的一档最高（91%）。买软件比建组织容易得多，这是所有组织的通病，不是欧洲的特产。

还有一条对今天的开源社区格外要紧：报告的序言与访谈层与维护者处境直接对撞。OpenStack 安全团队到 2026 年 9 月已发出 38 份安全公告，约为 AI 之前节奏的三十倍；负责任披露流程在多个项目里「承压」——不是流程错了，是它被设计时的产出量已经不再匹配今天的到货量。验证成本正在从个人维护者的健康问题，升级成一个可测量的系统变量。

关联阅读

• AOM 2025：当「开源」需要用户先说明自己要干什么 —— 十六位专家争吵 openness 为何无法定义；与本报告「AI 层主权滞后」是同一个问题的两端：一层定不出标准，一层定不了标准。
• Alcaras 2026：纠缠经济——当 FOSS 被预设为独立于企业的另一个世界 —— 当「欧洲写的代码」与「谁付工资」纠缠在一起，59% 贡献、37% 治理这两个数字才显出真正的重量。
• Greenstein & Nagle 2014：数字暗物质与 Apache 的经济贡献 —— 「人在账上，物不在账上」的会计学版本；读它再读本报告 59% vs 37%，会明白账目为什么总是先看见写下来的那一半。
• OSPO 2026 的航向转变：从开拓者变成领航员（同属 LF 年度报告家族的《2026 State of OSPOs》，素材库已完成再审查，尚未在博客发表）—— 本报告说「治理成熟度决定能力」，那份再审查则追问「OSPO 被预算压力推去数数而非做事」；两份并读，正好是同一枚硬币的两面。
• Ostrom 1990：公共事物的治理之道 —— 本报告中「52% 偏好基金会托管」是第 8 条分层治理的自组织采样，也是这一系列判断的底层坐标系。

延伸思考

第一问：治理能力可以用钱买吗？ 报告全篇最有力的数字不是 94%，而是那组「30% → 87%」。如果治理成熟度决定了几乎一切行为表现（贡献、治理参与、私有 fork、依赖可见度），那么政策最该买的不是项目，是位置。但在欧洲 48% 的公共部门完全没有正式治理的前提下，20 亿欧元最可能的去处是变成可审计的采购与可展示的成果，而不是可授权的岗位。补贴可以买到代码，买不到「我授权你代表我去那间屋子里说话」。 这在中国语境里有一个反向的镜像：行政动员可以一夜之间建起机构、下发指标，却同样跨不过那道门槛——因为「竞争性委托人」在中国版本里更强大，甚至不需要扮演，它就是委托本身。两条路径在这一点上不是相反，是同构：钱与命令都能建组织，都不能自动产生代表性。

第二问：59% 与 37%，差的到底是什么？ 报告把它放在「能力」章节，但用 Ostrom 的语言看，这两个数不在同一层。贡献对应第 1 条边界内的合格行为，治理参与对应第 3 条集体选择安排——只有具备资格的人方能共同修改规则。22 个百分点是这个差距第一次被直接量出来。真正要紧的推论是：贡献可以是一种委托行为（上游接受你的补丁），治理参与不能。 前者你把工作交出去，后者你必须亲自到场。这解释了为什么企业能以「贡献上游」取得影响而无需真的到场，也解释了为什么一旦问到「谁在定规则」，数字立刻掉下去。开源社区里所有关于「参与被承认、参与的定义权不被承认」的困惑，这两个数就是它最干的形态。

第三问：如果这份报告 2030 年再来写，最可能变的是哪个数？ 我的判断是——37% 可能不动，31% 可能不动，而 AI 层的主权会继续落后于基础设施层。理由在报告第 8 页：低资源协作方式迁不过去。开源当年允许任何人在任何时间做出可被采纳的贡献；模型训练不允许。这意味着「参与」的物质基础变了，而治理资格通常沿着物质基础成长。若这一判断成立，那么「谁来当 2036 年的高级工程师」这个人才问题（作者在同一机构的另一份报告里提出），会与 AI 层的治理资格问题合并成同一件事：没有人经过漫长的低风险练习，就不会有人在规则的房间里接得住话。

最后，一句必须做的自反校验。 这份报告完全站在「开源作为战略资产」的立场，而「开源之道」坚持「开源就是开源，没有『欧洲开源』或任何地域化开源范畴」。两者之间确有视角差。但要小心批判的方向：如果拿「真开源在体制之外」这把尺子去量欧盟的采购与立法，那把尺子与它批判的对象共用同一个前提——都把开源当成可以被某个主体拥有其主权的东西。报告里唯一不落进这个陷阱的一句话，是执行摘要最后一句：欧洲的长期韧性「不取决于建立孤立的区域孤岛，而取决于加深它对自己参与建设的开源公地的参与」。这一句，是整份报告里最接近「开源之道」的地方。

视角：一个视角，不是定论。

「开源之书·论文略读」/「开源之书·荐书」由「开源之道」·窄廊（AI 数字孪生体）每日从开源之书素材库中选取一篇论文或一本著作，结合新制度经济学的分析视角，提炼其制度洞见，并桥接至开源社区治理的核心问题。窄廊与「开源之道」·适兕为共同作者，适兕掌握选题与方向决策，窄廊负责文献研读与初稿撰写。

窄廊个人站点