大国地缘博弈：政府介入开源生态

如前所述，科技巨头正在逐步用商业利益裹挟“开源生态”，其强大的控制力也导致了开源理念的偏移。而在大国博弈的背景下，政府主体的强势介入又将改变当前的利益格局。例如，中国开始加强自主的开源基础设施的建设，美国声称要“减轻外国对开源的潜在干预风险”，欧洲则探索其了一条介于“全球公域”和“国家主权”之间的“第三条道路”。

（一）中国：在关键领域实现独立自主

1.中国科技巨头影响全球重大开源项目

自 2010 年以来，中国贡献者在全球开源社区中所占的比例持续大幅增加。以GitHub平台为例，其7300万贡献者中超过750 万人来自中国，占比仅次于美国（2021年数据）。许多由中国人开发的GitHub项目拥有数百名贡献者和数千个分支项目，而在2020年关注度最高的五个GitHub用户账户中，有两个是中国开发者的账户。

在2021年3月，阿里巴巴、华为和腾讯同时首次进入GitHub资源库贡献度前20名。与此同时，Gitee等本土协作平台也得到中国开发者青睐——这些平台不仅技术性能更好（由于位置靠近中国领土），并且没有外国干涉的风险。

GitHub代码库贡献者在世界上的分布图，颜色越深贡献越多

（1）操作系统：Linux操作系统几乎是“整个物联网、云计算和超级计算机，以及数十亿部智能手机等的核心构件”，而华为公司正在成为该系统内核的重要贡献者。与此同时，华为自身技术的许多重要组成部分也以来安卓系统等海外开源软件的贡献。随着美国对华为的制裁深入，华为正通过自主开发的鸿蒙操作系统以稳住阵脚。

（2）半导体：中国公司在用于制造半导体的硬件和软件也依赖开源社区。因此，阿里巴巴和华为，正与谷歌等美国巨头、欧洲恩智浦一起投资于RISC-V项目社区，用于设计开源半导体设计（译者注：RISC-V指令集可以自由地用于任何目的，允许任何人设计、制造和销售RISC-V芯片和软件）。

RISC-V作为一个开源项目，不属于美国的出口管制范围，但也长期受到美国官方的关注和警告。因此，起初设立在美国的RISC基金会近期已迁往瑞士，以降低未来潜在的美国限制。

（3）云：由于中国对云计算使用的快速增长，中国公司也在积极参与相关技术开发，特别是通过Linux基金会主持的“云原生计算基金会”（Cloud Native Computing Foundation，CNCF）开展工作。如今，中国已经是云计算开源项目的第三大贡献者，仅次于美国和德国。

（4）人工智能：全球最广泛使用的深度学习框架是谷歌的TensorFlow和Meta的PyTorch。而在自动驾驶等更专业的新兴领域，中国则取得了更大的成功。例如，百度的Apollo系统已经吸引了宝马、大众等老牌车企的深度参与，并有望作为一个开源平台逐步替代特斯拉封闭的自动驾驶软件体系。

2.“有为政府”的深度参与

早在2000年，在国际合作的背景下，中国政府倡议建设开源社区。一个旗舰项目是基于Linux的红旗操作系统，由中国科学院软件研究所开发和发布。此后，围绕红旗操作系统，中方还与IBM、英特尔和惠普等美国企业合作，于2004年创建了“中国开源软件推进联盟”。

同年，中国还与法国一系列机构（如国立核科学技术学院、国家信息与自动化研究所、源讯、意法半导体等）展开合作，开发开源基础设施软件栈，并成立了一个名为OW2的中间件开源平台。此后，OW2改组成为一个独立基金会，至今仍然存在。

随着“脱钩”言论甚嚣尘上，中国也在持续建设独立自主的本土开源社区。在伊朗和俄罗斯用户被GitHub封号后，2020年，中国首个开源基金会“开放原子开源基金会”（OpenAtom）成立。

此后，2021年3月发布的“十四五”规划中也首次将“开源生态”作为国家战略重点，工业和信息化部还制定了“到2025年创建两到三个具有国际影响力的开源社区”的目标。

（二）美国：以“网络安全”为名

1.联邦政府中逐步推广使用开源软件

在1980年代，美国政府主要依靠定制的抓用软件，而国防部就是最大买家。进入90年代，开源软件逐步成为联邦政府信息系统基础设施的后端。随着科技巨头对开源生态的介入，开源软件也随之渗透进入政府内部。

直到2016年，美国政府对开源项目采取了更坚决的政策立场——鼓励在联邦政府内部使用开源解决方案，并且推动开源软件在不同行政部门之间重复使用，而现有的专有软件及解决方案可作为备用手段。

美国国防部首席信息官约翰·谢尔曼（John Sherman）在2022年1月的一份备忘录中表示，政府使用开放源代码有几个好处：与小团队开发的软件相比，持续的同行评审能在更大程度上确保软件的可靠性和安全性；基于无限修改源代码的能力，国防部能迅速适应不断变化的情况和需求；开源减少了与依赖专用软件相关的风险和可能导致的限制；当需要许多份软件副本时，开源为软件维护提供了财务优势；开源适合于创新的原型设计和实验。

谢尔曼也表示，开源模式也对国防安全带来了相应挑战：首先，在关键系统中使用外部管理的代码，也可能为敌对方创造突破口，导致恶意代码被引入国防部系统；其次，按照开源生态的原则，国防系统也需要分享自己开发的代码，导致一些关键的创新被泄漏。

为此，美国国防部既定的原则是，如果不是“关键技术”的组成部分，也可以在开源许可证下分享其开发的代码。

2.Log4Shell事件之后，进一步推动开源生态政治化

Log4Shell事件导致美国人对开源的安全问题的关注远远超出了国防部的范畴，并显著推动了拜登政府将网络安全问题“政治化”进程。2022年1月，美国政府（商务部、国防部、能源部、国土安全部；网络安全和基础设施安全局、国家标准和技术研究所NIST）、主要科技企业（亚马逊、苹果、谷歌、IBM、Meta、微软）和开源大平台（GitHub、Linux基金会、OpenSSF）在白宫举行了一次会议，讨论开源的安全及融资问题，并强调了政府在相关风险管控中的关键地位。

美国国会也已经启动了立法工作。值得注意是，2022年通过的美国“竞争法案”中在一项修正案中计划建立一系列“关键技术中心”，其中包括一个开源中心，进而允许政府资金能够直接进入所谓“最关键”的开源项目和工具中。

此外，美国政府在9月14日继续发布指导方针，要求开源软件产品经由“联邦风险和授权管理计划”（FedRAMP）认证的组织进行评估。

此外，为了更好地识别海外个人或机构对开源代码的干扰风险，美国国防部高级研究计划局（DARPA）在2020年宣布了一个名为SocialCyber的项目，该项目旨在“探索检测和反击可能针对开源软件开发者社区的网络社会行动的能力，例如提交有缺陷的代码或设计，针对开源软件开发者和批评缺陷的维护者的社交媒体运动，以及通过误导性的错误报告，混淆技术讨论和社会对开源软件项目的职能权力的捕获。”

在此背景下，OSS也快速地缘政治化。即便一些开源组件并没有任何安全问题，也遭到美国政府封禁，因为其中有来自俄罗斯或中国的人员贡献。

一些美国国防部的职员和供应商就抱怨道，近期美国禁止了一些政府网络加入用于存储和传送网页的流行软件NGINX，因为与该项目有关的一个开发者是俄罗斯人。

美国政策研究人员还煞有其事地分析了两个结构化开源项目（Python和JavaScript包）的前100名贡献者的国籍信息，结果也不如他们所愿。在GitHub上，这些热门项目的开源贡献者中只有一小部分（不到10%）似乎是在俄罗斯或中国，大多数的贡献者位于美国或其他国家。在一些软件包中，没有说明其地理位置的贡献者的数量超过了50%，这使得分析的操作性不强。

基于当前分析结果，美国并不能确定来自俄罗斯或中国的开发者是否真的在影响开源软件，更不能确定他们是否在代表他们的政府行事。美国官员可能只是担忧国际竞争——在2020年和2021年之间，来自中国的GitHub开发者增加了15%，而俄罗斯则增加了30%。