本報(bào)告原刊于法國(guó)國(guó)際關(guān)系研究所（IFRI），原標(biāo)題為《“軟件實(shí)力”：開源軟件的經(jīng)濟(jì)和地緣政治影響》(Sources d’influence. Enjeux économiques et géopolitiques des logiciels open source) 限于篇幅，有所刪節(jié)。

【文/愛(ài)麗絲·潘尼爾】

當(dāng)今的技術(shù)趨勢(shì)之一是人類活動(dòng)的日益“軟件化”，即個(gè)人、企業(yè)和政府的大量活動(dòng)都通過(guò)軟件完成。工業(yè)轉(zhuǎn)型、公共服務(wù)數(shù)字化、5G部署以及物聯(lián)網(wǎng)出現(xiàn)，都讓軟件的戰(zhàn)略地位不斷攀升。軟件不僅無(wú)處不在，而且其功能和組件也日益復(fù)雜，相關(guān)的軟件風(fēng)險(xiǎn)也日新月異，因此安全分析也必須順勢(shì)而為。

軟件的核心是“開源代碼”。據(jù)統(tǒng)計(jì)，目前市場(chǎng)上80%到96%的軟件（包括專有軟件），其代碼都是開源的。無(wú)論是否知情，大多數(shù)公司、個(gè)人和政府都在使用開源軟件或組件。

根據(jù)美國(guó)Apache軟件基金會(huì)負(fù)責(zé)人David Nalley的說(shuō)法，“開源不僅是軟件行業(yè)的重要組成部分，而且是現(xiàn)代全球經(jīng)濟(jì)的基礎(chǔ)之一”。此外，所有新興技術(shù)，如人工智能和物聯(lián)網(wǎng)，都在廣泛應(yīng)用開源的資源。因此，“開源”這一現(xiàn)象的戰(zhàn)略重要性將持續(xù)增加。

（譯者注：開源軟件是指可以公開訪問(wèn)其源代碼的軟件，這意味著任何人都可以查看、修改和共享它。它通常由社區(qū)開發(fā)，并遵循自由和開放的協(xié)議。開源代碼和組件是開源軟件的基礎(chǔ)，因?yàn)檐浖怯蛇@些組件和代碼組合構(gòu)建而成的。開源組件也是開源代碼的一種形式，因?yàn)榻M件通常包含開源代碼。）

這一事實(shí)提出了幾個(gè)問(wèn)題。為什么開源軟件能夠成為全球數(shù)字基礎(chǔ)設(shè)施和經(jīng)濟(jì)的一個(gè)結(jié)構(gòu)性元素？如今的全球開源生態(tài)系統(tǒng)是如何運(yùn)作的？開源生態(tài)和占主導(dǎo)地位的私營(yíng)企業(yè)之間存在哪些合作和緊張關(guān)系？政府是如何處理上述問(wèn)題的，及其做法會(huì)對(duì)開源生態(tài)系統(tǒng)帶來(lái)什么影響？

如今，開源軟件相關(guān)的網(wǎng)絡(luò)安全、經(jīng)濟(jì)與創(chuàng)新問(wèn)題已不言而喻。開源模式為軟件開發(fā)帶來(lái)了巨大利好，涉及速度、質(zhì)量、組件的透明度、可能的漏洞、交互性、使用自主性等各個(gè)方面。

也正是因?yàn)槿绱耍_源具有眾所周知的弱點(diǎn)：即便是在很多關(guān)鍵性、基礎(chǔ)性的開源項(xiàng)目中，其主要貢獻(xiàn)者和維護(hù)者都是自發(fā)的志愿者。

因此，私營(yíng)企業(yè)越來(lái)越關(guān)注開源項(xiàng)目，并為充分利用這一資源做出了具體戰(zhàn)略。出于實(shí)際和經(jīng)濟(jì)的原因，大型科技企業(yè)率先介入了開源生態(tài)系統(tǒng)的構(gòu)建和治理，如今已經(jīng)成為其中的支柱。事實(shí)上，如今的全球開源生態(tài)系統(tǒng)正是圍繞著（私營(yíng)企業(yè)相關(guān)的）大型基金會(huì)和代碼庫(kù)而組織的。

各數(shù)字大國(guó)政府長(zhǎng)期關(guān)注開源問(wèn)題，但也是近期才逐步意識(shí)到開源軟件的戰(zhàn)略地位。通過(guò)分析美國(guó)、中國(guó)和歐洲的案例表明，政府對(duì)開源生態(tài)系統(tǒng)的參與不僅是被動(dòng)地應(yīng)對(duì)現(xiàn)實(shí)問(wèn)題，而且越發(fā)政治化，表露出維護(hù)政府對(duì)國(guó)家安全、國(guó)際影響或數(shù)字主權(quán)的雄心。

然而，對(duì)于公共部門而言，在“確保關(guān)鍵開源組件的普及”、“開發(fā)‘主權(quán)’技術(shù)”、“防范開源軟件的去中心化風(fēng)險(xiǎn)”三者之間，依然存在明顯的矛盾。

開源軟件的崛起、機(jī)遇與挑戰(zhàn)

關(guān)于軟件的開發(fā)和分配有著兩種主要的許可模式：專有軟件（proprietary software）和開源軟件?；诖艘舱Q生了相應(yīng)的經(jīng)濟(jì)和政治制度。

起初，專有軟件占據(jù)主導(dǎo)地位，但因?yàn)槠涿黠@的局限性（如經(jīng)濟(jì)成本高、風(fēng)險(xiǎn)大），開源軟件在過(guò)去的二十年里迅速崛起。

如今，很多開源代碼和組件已經(jīng)成為全球數(shù)字基礎(chǔ)設(shè)施的核心。在現(xiàn)實(shí)的軟件開發(fā)過(guò)程中，兩種模式也逐漸混合化，已經(jīng)很難直接將這兩種模式區(qū)分開來(lái)。

然而，開源生態(tài)系統(tǒng)時(shí)常發(fā)生巨大的網(wǎng)絡(luò)安全漏洞事件，并且對(duì)某些關(guān)鍵組件也缺乏相關(guān)維護(hù)資源，這些都導(dǎo)致了企業(yè)和政府對(duì)該系統(tǒng)的關(guān)注與日俱增。

（一）“開源”成為數(shù)字經(jīng)濟(jì)的核心基礎(chǔ)設(shè)施

1.為何要尋求專有軟件模式的替代方案？

從20世紀(jì)70年代互聯(lián)網(wǎng)時(shí)代的到來(lái)，到20世紀(jì)90年代末，專有軟件大量涌現(xiàn)并成為主導(dǎo)。專有軟件通常由私人實(shí)體開發(fā)，以獲取商業(yè)利益。

軟件（尤其是通過(guò)云計(jì)算提供的軟件）通過(guò)許可制度（licensing），以付費(fèi)訂閱的方式被提供給客戶。軟件出版商的其他收入來(lái)源還有維護(hù)合同，以及銷售相關(guān)服務(wù)、“高級(jí)”功能和廣告等。在該模式中，用戶一般無(wú)法獲得軟件的源代碼，因此不能檢查或修改軟件。

此后，專有軟件的主導(dǎo)地位受到了挑戰(zhàn)。對(duì)用戶來(lái)說(shuō)，專有軟件模式帶來(lái)了一系列問(wèn)題和風(fēng)險(xiǎn)，而全球地緣政治競(jìng)爭(zhēng)更是增加了依賴專有軟件的風(fēng)險(xiǎn)。

當(dāng)某些專有軟件是由外國(guó)公司生產(chǎn)的時(shí)候，問(wèn)題更加突出：網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的能見度相對(duì)更低（因?yàn)椴婚_放代碼和后臺(tái)運(yùn)營(yíng)詳情），用戶權(quán)益保護(hù)和爭(zhēng)端解決依賴域外立法（特別是關(guān)于軟件使用產(chǎn)生的數(shù)據(jù)處理），專有軟件的交易和使用受到地區(qū)限制（出于數(shù)據(jù)保護(hù)、政治、國(guó)家安全等原因）。

（1）激增的網(wǎng)絡(luò)和物理風(fēng)險(xiǎn)。專有軟件和開源軟件在安全方面各有優(yōu)劣，使用范圍是影響安全性的首要因素。

很多專有軟件往往擁有特殊權(quán)限，甚至能夠直接進(jìn)入網(wǎng)絡(luò)和設(shè)備。例如，由SolarWinds公司開發(fā)的Orion軟件是對(duì)信息系統(tǒng)進(jìn)行性能監(jiān)控的平臺(tái)，安裝在美國(guó)成千上萬(wàn)的組織中，其中包括美國(guó)政府。在2020年12月一個(gè)針對(duì)Orion的惡意軟件被曝光時(shí)，網(wǎng)絡(luò)攻擊者早已通過(guò)該平臺(tái)接入各大組織的網(wǎng)絡(luò)和系統(tǒng)，并且獲取相關(guān)數(shù)據(jù)長(zhǎng)達(dá)數(shù)月之久。

在物聯(lián)網(wǎng)興起的背景下，嵌入式軟件的風(fēng)險(xiǎn)也隨之上升。例如，在2018和2019年波音737 MAX的一系列飛機(jī)的事故中，部分就是由飛機(jī)軟件的錯(cuò)誤造成的。

隨著智能家居、自動(dòng)駕駛的領(lǐng)域的快速發(fā)展，相關(guān)物理層面的網(wǎng)絡(luò)安全問(wèn)題也會(huì)越來(lái)越多。

（2）用戶與政府加強(qiáng)數(shù)據(jù)保護(hù)。專有軟件還涉及數(shù)據(jù)保護(hù)的相關(guān)問(wèn)題，因?yàn)檫@些數(shù)據(jù)往往容易被輕易流出，甚至未經(jīng)許可就被其他人利用。

此外，專有軟件還可能存在后門，能夠接入各種硬件設(shè)備，并且難以被檢查出來(lái)。歐洲監(jiān)管當(dāng)局此前對(duì)基于云計(jì)算平臺(tái)提供的“軟件即服務(wù)”（Software as a service, SaaS）模式進(jìn)行了摸排，發(fā)現(xiàn)很多軟件供應(yīng)商受到本國(guó)法律規(guī)定，會(huì)強(qiáng)制將用戶數(shù)據(jù)傳送給其所在國(guó)當(dāng)局。例如，美國(guó)的谷歌、亞馬遜和微軟等大型云服務(wù)提供商都有類似問(wèn)題。

此外，一般的手機(jī)應(yīng)用程序的后臺(tái)數(shù)據(jù)往往也會(huì)受到開發(fā)商政府的監(jiān)管和審查。

（3）貿(mào)易和使用限制在增加。隨著全球地緣政治局面的變化，來(lái)自某些國(guó)家的專有軟件的貿(mào)易和使用限制在增加。例如，美國(guó)的出口管制政策已經(jīng)從“軍事領(lǐng)域”拓展到更多用于工程和技術(shù)發(fā)展的領(lǐng)域，軟件領(lǐng)域也受到其波及。

根據(jù)美國(guó)《外國(guó)直接產(chǎn)品規(guī)則》（FDPR），向中國(guó)和其他國(guó)家（重新）出口某些使用美國(guó)機(jī)器或軟件開發(fā)的產(chǎn)品需要美國(guó)的許可證。此外，根據(jù)技術(shù)轉(zhuǎn)讓限制，如果用戶使用在線服務(wù)時(shí)在不知情的情況下向外國(guó)傳輸了數(shù)據(jù)，該用戶也可能在無(wú)意中違反了某些限制。