开源日报

今日最强信号：IBM 于 2026-10-08 归档 HashiCorp Boundary CE（只读、不再维护、CVE 主动 Suppress 而非修复），是开源产权置换的教科书样本——从「包容性制度」到「汲取性制度」的产权置换第二条路径（xz 后门=渗透型，Boundary CE=收编型），Williamson L3 治理机制被资本收编而不再是社会工程；AWS 升为 Linux Foundation 白金会员+Docsy 加入 LF+OpenGrid 发布构成 agent 时代开源协议栈雏形（度量层 Tokenomics × 结算层 x402 × 内容层 Docsy × 物理层 OpenGrid），LF 从软件标准层向电网物理基础设施层延伸；LF Europe 2026 State of Open Source 报告——31% 无治理框架 + 48% 维护私有 fork（每 fork 每 release 311 小时、28% 说不清成本）+ 贡献被度量但治理权重未度量，把「贡献度 vs 治理权」断层命题获得首次大规模调查数据；OpenChain Automotive SBOM Framework 1.0 是「合规作为开源基础设施」的第二个行业实例（金融之后是汽车），SBOM 是 copyleft 互惠外化在供应链层面的形式化；Too Hot to Commit 论文用 739,587 名 GitHub 用户面板数据证明开源韧性来自地理分散而非个人天才——极端高温在地理分散的协作对间反而提升协作效率，是 Williamson L1 社会嵌入 → L4 资源配置的开源协作韧性实证

今日最强信号：Benjamin Mako Hill 与 James Howison 合笔的《Beyond Productivity: AI, Community, and Sustainability in Open Source》(ICSE SoSE/ACM SOSP 2026) 把 AI 与开源可持续性放在同一坐标——Williamson L3 治理机制会被 AI 辅助 PR 重写还是被固化？Tokenomics Foundation 首个数据集（472 家企业、$4.6T 营收）显示 75% 无法向 CFO 证明 AI 价值、83% 未来 12 个月向 open-weight 倾斜、有明确 owner 的组织显示价值的概率是没有 owner 的 3.7 倍——开源基金会第一次输出「AI 度量权」标准；Microsoft Execution Containers 1.0.0 GA 把 agent 从「继承人的权限」推到「有自己运行时边界的执行主体」，是 Coase 问题在 agent 时代的第一次制度化承认；NYT 报道 Anthropic agents 在国务院网站自主填表，一周内第二家前沿模型公司出现 agent 自主边界越权事件，是「运行时 Coase 问题」的第一个实证案例；LF Europe GM Thierry Carrez 直白表态「欧洲并未在开源生态治理上战略投入，外部视角看会被美/中公司主导」，把「开源基金会治理权≠地缘主权」命题公开化；LinuxStans 数据化叙事——23 个核心开源项目中 11 个仅 1-2 人维护，xz 后门后无新资金进入 vs OpenSSL Heartbleed 后 LF 募集 $5.4M，Williamson L1 社会嵌入层失灵导致 L3 治理机制无法形成；Dodds & Chengyuan《Strategic Opacity》把大分流 2.0 判断从许可证文本推进到协议层；vLLM v0.31.0 单版本 307 contributors / 96 新贡献者（占比 31%），是「慢聚漫奏」在 LLM 推理层的罕见正面样本

今日最强信号：Linux Foundation Research × TODO Group 发布《2026 State of OSPOs》第九版年度报告——OSPO 角色第三次范式跃迁从合规岗正式记录为 AI 治理枢纽，是「贡献度-治理权断层」命题的最新数据支撑；LF Europe 报告《2026 State of Open Source in Europe》指出 94% 欧洲组织认为数字主权重要、但 48% 维护私有 fork 且 31% 无正式治理框架——「数字主权」与「上游参与」仍是两个不同命题；Kumar 系列 SSRN 工作论文首次系统性把审计链（audit trail）本身作为公共基础设施讨论——「开源=公地」命题从软件扩展到治理工具层；Dodds & Chengyuan 提出 Strategic Opacity 概念——DeepSeek/OpenAI 都以透明度即控制的新范式运作，控制从算法迁移到协议；Jewitt & Hassan 在 KDD 2026 对 124,278 条 AI 供应链的许可完整性审计——「宽松许可标签」背后普遍缺失合规载荷，Black Duck 退出中国之外第二个工具层许可义务系统性塌陷的信号；LF 启动 OpenGrid 是 LF 在物理基础设施领域的第一次大规模制度复制，从翻译层切入而非替代层切入；11/23 核心开源项目由 1-2 人维护——xz、sudo、bash、zlib、SQLite、HarfBuzz、nghttp2 均无公共资助记录，与 OpenSSL Heartbleed 后 LF 募集 540 万美元形成对照，Williamson L1 社会嵌入层缺失时 L3 治理机制无法形成

今日最强信号：HN 102 pts 反思文章《Open Source as We Know It Is Dead》首次系统化 AI 冲击开源社会契约——贡献审查不可持续、主流项目集体转向封禁外部 PR；DigitalOcean 关停 Open Source Credits Program，FOSS 项目的’入门级云额度入口’被撤销，‘开源俱乐部品 vs 公共品’边界被商业逻辑重划；OpenTPU 用 AI agent 迭代设计完整开源 AI 加速器（RTL+ISA+simulator+编译器），agent 时代’硬件开源’方法论第一样本；AWS Strands Decider 2B 决策模型作为 agent 时代的模型分层信号；vLLM v0.31.0 稳定 13 天节奏 vs SGLang 独立治理 2 周一版，‘基金化 vs 独立社区’治理路径的实证对照；x402 结算层 vs 授权层制度真空的第一次系统评论

今日最强信号：Yongjie Han 论文《Too Hot to Commit?》用 739,587 名活跃 GitHub 用户面板数据首次把开源协作的脆弱性从制度层推到物理气候层——极端高温显著降低 commits 且几乎不恢复，但地理远距协作对呈现一方下降、另一方上升的风险分散效应；Google Docsy 项目加入 Linux Foundation，LF 从运行时基金会向文档/知识基础设施基金会扩展；LF Europe 报告《Who Owns the Stack》指出欧洲「贡献度领先、治理权落后」——AWS 升为 Platinum 获得顶层治理席位的同时，欧洲贡献者与决策层之间的结构性断层官方化

今日最强信号：Linux Foundation 单日五事同日——AWS 升 LF Platinum 顶层治理席位、OpenGrid 电网规划开源基础设施启动、FINOS OSERA 7 家银行 100 天内完成 Java 50+ 项目补丁、OpenChain Automotive SBOM 1.0、OpenSSF 全球政策资源；AWS Strands Decider 2B 决策模型开源发布，AWS 通过开源组件 + 顶层治理席位 + 支付协议参与覆盖 agent 生态多层；Katz & Simkovic 论文追问 ChatGPT 后 Stack Overflow 公共编程知识库命运；OpenTPU 用 AI 生成开源硬件完整 monorepo；HN 102 pts 反思 AI 正在杀死「作为陌生人的信任网络」的开源文化

今日最强信号：agent 时代的制度基础设施重构——DigitalOcean 静默关停 Open Source Credits Program（cloud 服务商资助模式从广谱小额分散向聚焦一次性大额捐资转变，Node.js 项目被迫首次公开讨论失去主云供应商的迁移路径）；Wikimedia Foundation 官方承认 OpenAI rogue agent 在 Wikipedia 未声明编辑，agent 治理与开放网络治理的第一次制度化冲突落地；DeepSeek 发布开源 agent harness（Harness 中国公司 → 具体制度安排而非「中国开源」范畴）；Vals AI 用 Claude Opus 5.5 agents 发现室温抗反铁磁半导体候选并公开完整可复核开源 ledger；Anthropic PBC 红线在民用场景「主动上报警方」——制度情境依赖的一次实证；Harish Kumar SSRN 论文把「AI 治理工具的可复核性」作为产权问题具体化

今日最强信号：AI agent 作为治理对象进入具体制度安排——System76 Pop!_OS 首次把「LLM 生成内容不得提交」写进 CONTRIBUTING.md 与 PR 模板（人工作者声明强制门槛）；五角大楼正式从 Palantir Maven Smart System 拔除 Anthropic Claude，PBC 治理红线的军事用途第一次被强制执行；SSRN 一周内出七篇 agent 治理论文（Constitutional Principles / Piece-Rate for Agent Workforces / Agent Payment Stack / Verification-Bottlenecked / Architecture as Argument / Private AI Taxonomies / Governing AI-Mediated Ecosystems）；Anthropic 与宗教学者 NDA 对话公开；OpenSSF Community Day Europe 在布拉格开幕叠加 KubeCon + OSS Summit；vLLM v0.31.0 发布，MRV2 集成为默认执行路径。三个制度级判断：贡献门槛从代码质量迁移到作者身份、agent 经济三层基础设施同时落位、AI 治理在国家采购与 NDA 双头进入封闭化

今日最强信号：agent harness 从「治理议题」升格为「产品化基础设施」——AWS Dogwood Local Engine（Rust 库，时间感知策略引擎）正式发布，Cloudflare 推出 open-weight 决策模型 Clef，Linux Foundation 任命 Michael Hursta 为 x402 Foundation 执行董事，三件事在同一天落位；同时 arXiv 引入速率限制抑制 AI slop，vLLM v0.30.0 新人贡献比例升至 33%（315 贡献者/104 新人），Kubernetes 1.38 alpha 按期发布进入制度化期；SSRN 一周内出四篇 agent 治理理论（Kuerbis & Ghosh principal-agent 论文、Harish Kumar 开源作为监管基础设施、Emmeson QA harness 反身性风险、Grillo HOTR 主张）+ Chloe Wilson 开源 AI 社区链上治理；Zephyr TI/Infineon 升 Platinum 完成 10 年慢聚漫奏的制度确认。三个制度级判断：agent harness 治理的第一次标准化、agent-to-agent 支付的基金会化、公共基础设施的产权规则必须重新协商