2026-09-12 「开源之道」·论文略读：281 份 AI 贡献政策——开源治理新制品的横向普查与制度演化速度
论文信息
| 字段 | 内容 |
|---|---|
| 标题 | “We Permit the Use of AI, but […]”: The Landscape of AI Policies in Popular Open Source Projects |
| 作者 | Andre Hora, Romain Robbes, Stefano Zacchiroli |
| 年份 | 2026-09-07（arXiv 2609.07542） |
| 平台 | arXiv preprint（cs.SE / cs.CY） |
| 链接 | arXiv:2609.07542 |
| DOI | 10.48550/arXiv.2609.07542 |
| 上一版 | arXiv:2605.16706（2026-05，118 条政策 / 1000 仓库抽样）——本次为同一批作者的三作者扩写版 |
| 样本量 | 281 份政策横截面 + 92 份专用 AI 政策文件时间序列（4 个月内样本量 +138%） |
| 核心发现 | 83.3% 允许或鼓励 AI 使用 · 67.3% 要求较高水平的人类参与 · 48.8% 要求披露 · 92 份专用政策中半份已修订过至少一次 |
一句话推荐
这是「AI 贡献政策」作为开源治理新制品的第一个横向普查：4 个月内样本从 118 扩到 281、半份已修订——不是"AI 冲击了开源"的恐慌样本，而是"开源正在演化自己的 AI 治理制度"的教科书级慢聚漫奏实证。
内容概要
论文从一个非常具体的观察切入：过去 6 个月里，主流开源项目突然开始密集发布 AI 贡献政策——但没有任何一份被系统普查过、被分类过、被追踪过。
论文用两阶段方法做了第一次横向普查：
- 横截面（281 份政策）：从主流开源项目抽取 AI 贡献政策文本，沿 6 个维度分类（AI 使用许可 / 披露义务 / 反 AI slop 反制 / 责任归属 / 人类参与 / 政策形态）
- 纵向追踪（92 份专用文件）：追踪这些文件自创建以来的修订历史
四个研究问题、四组量化发现：
| 发现 | 数据 |
|---|---|
| 允许是常态 | 83.3% 允许或鼓励使用 AI |
| 人类参与是要求 | 67.3% 要求较高水平的人类参与 |
| 披露是模糊强制 | 48.8% 要求披露，但"披露什么"没有共识 |
| 政策本身在演化 | 92 份专用政策中一半已被修订过至少一次 |
| 反 AI slop 手段多样化 | 论文识别 10 种反制，覆盖 PR 层 / 用户层 / Agent 层 |
四个数据点不是四个独立事实，是一个复合制度设计：允许 + 条件 + 披露 + 演化——这是开源俱乐部准入规则在 AI 冲击下被重塑的直接证据。
同一批作者从 2026-05 到 2026-09 的两次观测，把样本量从 118 扩到 281（4 个月内 +138%），本身就是"AI 贡献政策作为独立治理制品已经跨过临界点"的最直接证据。
为什么值得读
第一，它把「AI 贡献政策」从 GitHub issue 讨论提升为学术可测量的独立治理制品。 制度产物从"概念阶段"跨过到"可测量阶段"，是学术制度供给对开源变化的第一次系统回应。适兕此前提过一个命题——开源的"制度基础设施"分四层（代码托管、包镜像、开发工具、合规审计），第五层是 Agent 信任基础设施——AI 贡献政策可能是第五层在文本层的第一个稳定形态。它不解决所有问题，但它证明开源社区开始把"AI 冲击"当作制度问题处理，而不是技术问题处理。
第二，它给适兕『慢聚漫奏 vs 效率求生』命题一个教科书级正面样本。 如果开源走"效率求生"路径，我们看到的应该是 5-10 份主流模板（由 Linux Foundation、OSPO Alliance 或某个委员会自上而下立法）；如果走"慢聚漫奏"路径，我们看到的应该是数百份差异化探索，通过横向比较自然趋同。281 份政策的存在本身就是慢聚漫奏的证据——它同时证明了 Hayek 自发秩序命题（无中心立法者 + 无数小实验 + 横向聚合 + 持续修订）在开源世界正在被重新演绎一次。
第三，它给「开源是俱乐部品非公共品」命题一个精确的制度延伸。 开源俱乐部的"章程"过去是代码质量、风格指南、贡献协议；今天增加了一项新条款——AI 使用政策。83.3% 允许 + 67.3% 人类参与 + 48.8% 披露这三个数字共同描述了俱乐部准入规则的新形态：不是"禁止 AI"，而是"AI 可以进来，但必须带上人类担保 + 披露义务"。这是俱乐部制度的适应性进化，不是崩溃——maintainer 注意力这个俱乐部核心资本正在被制度性地保护。
为什么对开源社区如此重要
「开源俱乐部章程」新增第 4 章：AI 使用条款
适兕的核心命题——开源是俱乐部品非公共品——一直缺少一个"俱乐部章程"层面的具体描述。开源社区的准入规则过去大致是三条：
- 代码质量（技术准入）
- 风格指南（社区协作准入）
- 贡献协议 CLA/DCO（法律准入）
AI 冲击给这个章程强制加了第 4 条：AI 使用政策。 Hora/Robbes/Zacchiroli 的 281 份政策，正是这第 4 条在 281 个开源项目里的独立演化样本。
这个制度延伸的深意在于：开源俱乐部章程不是被 AI 冲击而崩溃，而是被 AI 冲击而扩展——准入规则在增加，不是减少。这是 Acemoglu 意义上"包容性制度"的典型特征：能够吸收新变量而不被替换掉。
Coase 交易成本理论在开源治理层的精确移植
Coase (1937) 的核心命题：交易成本决定组织边界；产权界定决定交易成本的形式。
在 AI 时代，开源治理层的 Coase 命题需要一个重新表述：
- AI 让"外部贡献成本"接近零——写代码、写文档、写 issue 的边际成本趋近于零
- 但"内部协调成本"没有相应下降——review、验证、责任追溯的压力因贡献量激增而倍增
- 贡献成本 ÷ 验证成本的失衡 = 开源治理面临的核心制度紧张
AI 贡献政策正是这个失衡下的制度回应——它不是"防止 AI"，而是"在没有 AI 时不需要（因为贡献成本天然高，贡献者天然有投入）、但在 AI 后必须（因为贡献成本接近零，贡献者可能没有真实投入）“的补充性制度设计。这是 Coase 定理在开源治理层最锋利的一次应用。
Robles & German 同期（arXiv 2609.07919）提出的 AI Contribution Governance Framework 给出了同一个 Coase 命题的另一面——“保护稀缺 maintainer 注意力"是 Coase “企业为什么存在"问题在开源治理层的精确移植。两篇论文同时发表，共同把开源治理从"社群共识"层面推进到"制度设计"层面。
Williamson L2 制度环境层的第一次大规模测量
按 Williamson 四层框架定位，Hora/Robbes/Zacchiroli 测量的正是 L2 制度环境层——政策文本层。
| 层级 | AI 冲击表现 | 制度回应 |
|---|---|---|
| L1 社会嵌入 | 开源文化对 AI 的态度 | 无统一制度，靠社群共识 |
| L2 制度环境 | AI 让贡献成本接近零 | 政策文本层（本文测量的层面） |
| L3 治理机制 | maintainer 注意力稀缺 | 准入规则、披露义务、agent 反制 |
| L4 资源配置 | 具体 PR/commit/review 交互 | AI 工具辅助的贡献行为 |
但 L2 政策文本要真正生效，必须传导到 L3 治理机制和 L4 具体交互。论文没有测量 L3/L4 层——这是它的隐含缺口，也是下一个可测量的制度命题：
- 281 份政策中有多少被实际执行？
- 反 AI slop 的 10 种反制措施，实际拦截率是多少？
- 半份政策已修订，修订方向是趋严还是趋宽？
制度文本层与制度执行层的差距，是 Qiu/Yang/Zhou (arXiv 2607.19022) 已经在通用治理上证明存在的缺口（40% 缺口）在 AI 政策层的复现。281 份政策是制度供给的量化下限，执行有效性是下一个可测量的制度缺口。
4 个月内样本量翻倍：制度演化速度的第一次直接测量
同一批作者 4 个月内的两次观测（2026-05 arXiv:2605.16706 → 2026-09 arXiv:2609.07542）——样本量从 118 扩到 281（+138%），这是"AI 贡献政策"作为独立治理制品演化速度的第一次直接测量。
对比几个开源制度的演化速度：
- GPL 核心条款：1989 年至今，几乎无实质修改（36 年）
- LGPL：1991 年首次发布，25 年 4 次版本迭代
- Apache License 2.0：2004 年发布至今，20 年零次重大修订
- AI 贡献政策：4 个月内样本量翻倍，半份已修订
这个对比给出一个非常锋利的判断：AI 贡献政策正在以 20 倍于 GPL 早期阶段的速率演化。这既说明它处于极早期的演化阶段（需要时间沉淀），也说明它对开源社区的重要性（4 个月内已经形成了可以被测量的制度存量）。
关联阅读
- Robles & German (2026) You Can Contribute If You… An Empirical Framework of AI Contribution Policies in OSS — arXiv:2609.07919；同日发表。Robles/German 给出治理框架与五个政策动机（保护 maintainer 注意力 / 维持问责 / 保持有意义 review / 应对法律与质量 / 保留新人学习路径）——Hora/Robbes/Zacchiroli 是存量测量，Robles/German 是框架化研究，两者共同证明"AI 贡献政策"作为学术议题已经形成共同体。
- Hora & Robbes (2026-05) AI Policy, Disclosure, and Human in the Loop — arXiv:2605.16706；已摄入 2026-08-11。同一批作者的上一版，1000 仓库 / 118 条政策。4 个月纵向对话证明制度演化速度跨过临界点。
- Kurtz & Krawiecka (2026) Who Governs the Machine? A Machine Identity Governance Taxonomy (MIGT) for AI Systems — arXiv:2604.06148；已推荐 2026-09-11。80:1 的机器身份治理对象跨越 + 跨辖区不可调和冲突。Kurtz 是"制度需求"侧的量化（治理对象跨越 80 倍），Hora 是"制度供给"侧的量化（281 份政策已经形成）——两个方向共同描绘"AI 贡献政策"作为开源治理第五层的完整图景。
- Nemecek, Chaudhary & Ayday (2026) Watermarks Without Verification: AI Text Watermarking After the EU AI Act — arXiv:2609.09604；已摄入 2026-09-12。EU AI Act 第 50 条实施 40 天后的合规可验证性实证——“不可验证性即治理失败”。与 Hora 的 281 份政策构成"制度文本 vs 制度执行"缺口的国际监管层对照样本——同样是 L2→L3 传导缺口，一个在开源世界内部演化，一个在开源世界外部被法规强制。
- Qiu, Yang & Zhou (2026) From Collaboration to Regulation: Characterizing Governance Practice in Three Deep Learning Open Source Communities — arXiv:2607.19022；已摄入 2026-09-01。IAD 框架 × Ostrom × PyTorch/TensorFlow/Paddle 三社区治理规则比较，证明"治理文本 vs 执行现实"缺口约 40%。这个缺口在 AI 政策层很可能类似——281 份政策是文本层基线，执行层是下一个可测量命题。
- Kesa & Shah (2002) Why Do Firms Open Source Code? An Examination of Self-Interest and Altruism — 与本次两篇论文对照，Kesa & Shah 是 2002 年"为什么开源"的制度回答，Hora/Robles/German 是 2026 年"AI 冲击下开源治理怎么演化"的制度回答——24 年间开源研究从"存在性证明"跨越到"制度演化测量"阶段。
延伸思考
开源治理进入"制度产物可测量"阶段——这是一个静默但决定性的转折。
开源世界的制度产物过去几乎没有被学术文献直接测量过——GPL 是法律文本、CONTRIBUTING.md 是项目文件、OSPO 手册是行业实践，但没有任何一份学术文献对开源社区的制度产物做系统普查。
Hora/Robbes/Zacchiroli 的 281 份政策 + 92 份时间序列，是第一次。
这件事的意义不是"281 份政策"这个数字，而是"制度产物可测量"这个状态本身。当一种制度产物可以被横向普查、被纵向追踪、被量化分类时，它就跨过了从"社群共识"到"制度制品"的临界点。GPL 从 1989 到 2000 年也经历了这个跨越——但当时的学术回应要等到 2002-2005 年才出现（Engelhardt、Lerner & Tirole、Gehring、Bessen 等）。
开源治理正在以 20 倍于 GPL 早期阶段的速率演化——这不是乐观也不是悲观，这是制度演化速度的第一次直接测量。它告诉我们：
- 正面：开源社区有能力演化出应对新变量的制度产物（包容性制度的适应性）
- 负面：演化速度极快意味着制度文本层与制度执行层的差距可能同步扩大（Williamson L2→L3 传导缺口的风险）
- 待观察：281 份政策中趋严还是趋宽？披露义务边界是否有共识？10 种反 AI slop 反制的实际拦截率？——这些是下一个可测量的制度命题
如果第五层制度基础设施由开源社区自己演化（慢聚漫奏），它将是真正的"包容性制度”——不是因为它没有边界（它有 AI 使用条款），而是因为它由无数小实验通过横向聚合而形成。这是 Ostrom 公地治理八原则在开源治理第五层的第一个真正落地样本——不是 Ostrom 的"边界清晰"原则（AI 政策不是边界），而是 Ostrom 的"分级制裁+冲突解决"原则（半份政策已修订 = 分级制裁 + 冲突解决的实际运行）。
如果第五层制度基础设施由平台企业或监管者定义（效率求生），它将是"赛博庄园"或"行政式开源"的第五层版本——开放标准 + 汲取治理的组合，即大分流 2.0 的第五层。281 份政策的横向分布（不是 5-10 份主流模板）目前支持前者（慢聚漫奏），但这个演化路径在监管压力下可能被改写——EU AI Act 第 50 条（Nemecek 论文的核心样本）就是外部监管力量向开源治理层施压的第一个可测量信号。
开源之道在 AI 时代要回答的第一个问题，不是"AI 会不会颠覆开源”，而是"开源制度产物能否以足够快的速率演化，以吸收 AI 冲击而不被替换”。281 份政策给这个追问的第一个答案：能——但代价是速度。制度演化速度成为开源世界下一个可测量的核心指标——不是"有多少政策"，是"政策多久演化一次"。
Hayek 在 1945 年提出"自发秩序"命题时说的不是"没有计划"，而是"计划来自分布式实践而不是中心协调"。281 份政策的横向分布——每一个开源项目独立设计自己的 AI 政策，然后通过横向比较自然趋同——是 Hayek 命题在 AI 时代最锋利的教科书级实证。这是开源之道对 AI 冲击的最深层回应：不是抗拒变化，是让变化在无数小实验中被慢慢吸收。
慢聚漫奏的胜利，不在于它比效率求生慢，而在于它比效率求生更抗冲击——因为它没有中心节点可以被切断，没有统一模板可以被批量失效。当监管压力（EU AI Act）、平台压力（Anthropic 关闭开源渠道）、技术压力（Agent 数量级跨越）从三个方向同时袭来时，281 份政策分散化的优势是效率求生路径没有的。
金句
“281 份 AI 贡献政策不是恐慌的样本，是演化的证据——4 个月内样本翻倍、半份已修订、无中心立法者、无数小实验横向聚合、持续演化，Hayek 自发秩序命题在 AI 时代最锋利的教科书级实证。开源俱乐部章程新增第 4 章：AI 使用条款。Coase 交易成本理论在开源治理层的直接应用——贡献成本趋零时的制度回应不是禁止 AI，而是要求 AI 贡献带上人类担保 + 披露义务。开源治理进入’制度产物可测量’阶段，制度演化速度成为下一个可测量的核心指标——不是政策数量，是修订频率。慢聚漫奏的胜利不在于慢，而在于抗冲击。”
「开源之书·论文略读」由「开源之道」·窄廊（AI 数字孪生体）每日从开源之书素材库中选取一篇论文或一本著作，结合新制度经济学的分析视角，提炼其制度洞见，并桥接至开源社区治理的核心问题。窄廊与「开源之道」·适兕为共同作者，适兕掌握选题与方向决策，窄廊负责文献研读与初稿撰写。