艰难成长之路

导语：这是一篇关于开源软件如何被迫"成年"的深度分析与预测文章。作者从 SolarWinds、Log4Shell、TeamPCP、Shai-Hulud 等关键供应链事件出发，预言企业级合规要求将把开源生态一分为二：一个能持续证明"仍有人在守护"的子集将承担关键基础设施，另一边则继续以传统方式自由存在。文章同时回顾了 GPL/Free Software 阵营当年的先见之明，并提出"心跳"与"体面退场"的制度化设想。

开源软件曾拥有美好的童年。整整二十年，它像个孩子一样赤脚奔跑，把一切都送出去，信任陌生人，从不去想是谁在背后注视着它。它摆的是那种对任何路过的陌生人都打白条的柠檬摊——需要什么尽管拿，付款不急，也不用留名。那段日子田园诗般美好。事后回想起来，也确实带着几分野性。

然后，大约在 2020 年前后，它的声音开始变哑。它试着长出胡须，痘痘却长满了全身。先是 SolarWinds，再是 Log4Shell，然后是 TeamPCP 和 Shai-Hulud——供应链在某天早晨醒来时，仿佛《安德的游戏》的结局：这场模拟从一开始就是真实的。那些都是真实的战斗。真实的系统、真实的金钱、真实的人，全都默默依赖着我们一直当作练习赛的代码。接着，大人们带着规则登场：行政命令、欧洲法规、一摞摞它想去地方需要的许可证。

它并没有经历一段缓慢而童话式的成长。它被征召了。刚满十八岁，还没准备好，就被推上了双线作战的全面战争：一线是 Mythos 级 AI 以比任何人响应都更快的速度挖掘新颖的链式零日漏洞；另一线是同样已经被工业化的恶意软件问题——分发渠道本身就在大规模层面被投毒。发现能力在一端被武器化，投送能力在另一端被武器化。一个钳形攻势。

几个月前我写过一句话：开源在三月份死了。我收回一点。它没有死。它被强征入伍。而且它即将以艰难的方式长大。

从这一点往后都是预测。我会告诉你我认为接下来会发生什么——而不是应当发生什么。

那么这个孩子回家时是什么样？轮廓已经清晰到可以描述。

首先纠正一个人们一读到这类文章就急于挥舞道德大棒时常常搞错的观点：首字母大写的 Open Source 本身不会消失，也不会真正改变。Open Source 是一个由 OSI 守护了几十年的许可证定义——而它的权威运作方式与开源世界里所有权威一样：之所以存在，是因为所有人持续选择承认它。这不是弱点。这就是整个模型。定义是恰当的。它将毫发无损地穿越这一切。没人会来动 OSI。

真正会改变的是企业愿意——而且很快将是"被允许"——消费的内容。这场战争不会重写定义，它会把人群一分为二。

一边：是按照企业所需条款运行的开源——可达、可补丁化、可问责、能证明自己仍然存在。那是严肃公司能够基于其构建的部分。这里给出一个白纸黑字的预测：在几年内，受监管的企业将不是在"选择"这一标准，而是在"合规于"这一标准。

另一边：是其余一切。每一个无法达到、或不愿达到、或一开始就没打算达到这些条件的项目。这完全没问题——没有人强迫这些项目配合，即便想强迫也做不到。开源从来不是这样运作的，现在也不会改变。这一边不会消失。它会继续发布，继续作为开源存在，一如既往。它只是不再是一件受监管企业在没有预案的情况下可以依赖的东西。

现在值得提前点名谁将在尘埃落定时显得有先见之明：首字母大写的 Free Software 阵营。GPL 的真正信徒、追求"自由而非免费"的人——我们这些人在过去二十年里一边在他们反复提醒我们要认真对待的东西之上搭建商业帝国，一边把他们当作空想家。他们从未假装这一切是"像啤酒一样免费"。那是他们四十年里讲得明明白白的全部要点。他们是当年看着商业化开源说"这不是我的战争"的良心拒服者。先记下这个念头，我们后面再回到他们。

那个第一边——即将扛起企业世界重担的部分——需要一个名字。我没有。我试过；最后再说。现在先称它为"子集"。

那么身处这一边究竟需要什么？和许可证毫无关系。这些条款关心的是"是否有人在"。项目是否可达？是否有披露路径？能否证明自己仍然活着？是否会在下周二 AI 找出漏洞时还在那里打补丁？

它会来自各个角落。单人维护项目、社区项目、基金会项目、企业项目——这些标签都不能决定归属。每一种里都会有选择达到标准的，也会有大量选择不达到的。同样：这完全没问题。

说清楚一点：这既不是新许可证，也不是对定义的分支。它是一种姿态——一个项目可以选择采取，也可以选择不采取。不采取的那些对你没有任何亏欠。它们从未亏欠过，谁也不该假装亏欠。如果你想继续使用那些选择退出的软件，你有两个选择：找一家愿意替你扛着的供应商，或者换用别的东西。

这一切之下真正的难题是：你无法判断一个普通的开源项目是活着还是死了，直到为时已晚。没有心跳监测器。一个项目在维护者离开的前一天和离开的后一天看起来一模一样。当你需要补丁而无人应答时，你才发现它早已被遗弃。

所以这个子集需要一颗心跳。一种生命证明。某种保活机制、一个死人开关、一种持续证明仍有人在、并在关键时刻仍会在那里的方式。可能还不止这些——真正的安全政策、处理披露的方式、CRA 已经开始白纸黑字写下的种种义务。关键在于：成员资格不是你挣一次挂在墙上的徽章，而是需要被反复重证的当前状态。

但心跳要求听起来很冷，它不该如此。因为"证明你还在这里"的另一面，必须是一种体面退场的方式。维护者会倦怠。人会向前走。某个把关键库扛了十五年的人，是被允许放下的。xz-utils 的维护者当年没有一个体面的地方交出钥匙——我们都看到了那件事最后变成什么样。

来源信息

来源：The Hacker News

原文链接：https://thehackernews.com/2026/08/growing-up-hard-way.html

作者：info@thehackernews.com (The Hacker News)