大國(guó)地緣博弈：政府介入開源生態(tài)

如前所述，科技巨頭正在逐步用商業(yè)利益裹挾“開源生態(tài)”，其強(qiáng)大的控制力也導(dǎo)致了開源理念的偏移。而在大國(guó)博弈的背景下，政府主體的強(qiáng)勢(shì)介入又將改變當(dāng)前的利益格局。例如，中國(guó)開始加強(qiáng)自主的開源基礎(chǔ)設(shè)施的建設(shè)，美國(guó)聲稱要“減輕外國(guó)對(duì)開源的潛在干預(yù)風(fēng)險(xiǎn)”，歐洲則探索其了一條介于“全球公域”和“國(guó)家主權(quán)”之間的“第三條道路”。

（一）中國(guó)：在關(guān)鍵領(lǐng)域?qū)崿F(xiàn)獨(dú)立自主

1.中國(guó)科技巨頭影響全球重大開源項(xiàng)目

自 2010 年以來，中國(guó)貢獻(xiàn)者在全球開源社區(qū)中所占的比例持續(xù)大幅增加。以GitHub平臺(tái)為例，其7300萬貢獻(xiàn)者中超過750 萬人來自中國(guó)，占比僅次于美國(guó)（2021年數(shù)據(jù)）。許多由中國(guó)人開發(fā)的GitHub項(xiàng)目擁有數(shù)百名貢獻(xiàn)者和數(shù)千個(gè)分支項(xiàng)目，而在2020年關(guān)注度最高的五個(gè)GitHub用戶賬戶中，有兩個(gè)是中國(guó)開發(fā)者的賬戶。

在2021年3月，阿里巴巴、華為和騰訊同時(shí)首次進(jìn)入GitHub資源庫貢獻(xiàn)度前20名。與此同時(shí)，Gitee等本土協(xié)作平臺(tái)也得到中國(guó)開發(fā)者青睞——這些平臺(tái)不僅技術(shù)性能更好（由于位置靠近中國(guó)領(lǐng)土），并且沒有外國(guó)干涉的風(fēng)險(xiǎn)。

GitHub代碼庫貢獻(xiàn)者在世界上的分布圖，顏色越深貢獻(xiàn)越多

（1）操作系統(tǒng)：Linux操作系統(tǒng)幾乎是“整個(gè)物聯(lián)網(wǎng)、云計(jì)算和超級(jí)計(jì)算機(jī)，以及數(shù)十億部智能手機(jī)等的核心構(gòu)件”，而華為公司正在成為該系統(tǒng)內(nèi)核的重要貢獻(xiàn)者。與此同時(shí)，華為自身技術(shù)的許多重要組成部分也以來安卓系統(tǒng)等海外開源軟件的貢獻(xiàn)。隨著美國(guó)對(duì)華為的制裁深入，華為正通過自主開發(fā)的鴻蒙操作系統(tǒng)以穩(wěn)住陣腳。

（2）半導(dǎo)體：中國(guó)公司在用于制造半導(dǎo)體的硬件和軟件也依賴開源社區(qū)。因此，阿里巴巴和華為，正與谷歌等美國(guó)巨頭、歐洲恩智浦一起投資于RISC-V項(xiàng)目社區(qū)，用于設(shè)計(jì)開源半導(dǎo)體設(shè)計(jì)（譯者注：RISC-V指令集可以自由地用于任何目的，允許任何人設(shè)計(jì)、制造和銷售RISC-V芯片和軟件）。

RISC-V作為一個(gè)開源項(xiàng)目，不屬于美國(guó)的出口管制范圍，但也長(zhǎng)期受到美國(guó)官方的關(guān)注和警告。因此，起初設(shè)立在美國(guó)的RISC基金會(huì)近期已遷往瑞士，以降低未來潛在的美國(guó)限制。

（3）云：由于中國(guó)對(duì)云計(jì)算使用的快速增長(zhǎng)，中國(guó)公司也在積極參與相關(guān)技術(shù)開發(fā)，特別是通過Linux基金會(huì)主持的“云原生計(jì)算基金會(huì)”（Cloud Native Computing Foundation，CNCF）開展工作。如今，中國(guó)已經(jīng)是云計(jì)算開源項(xiàng)目的第三大貢獻(xiàn)者，僅次于美國(guó)和德國(guó)。

（4）人工智能：全球最廣泛使用的深度學(xué)習(xí)框架是谷歌的TensorFlow和Meta的PyTorch。而在自動(dòng)駕駛等更專業(yè)的新興領(lǐng)域，中國(guó)則取得了更大的成功。例如，百度的Apollo系統(tǒng)已經(jīng)吸引了寶馬、大眾等老牌車企的深度參與，并有望作為一個(gè)開源平臺(tái)逐步替代特斯拉封閉的自動(dòng)駕駛軟件體系。

2.“有為政府”的深度參與

早在2000年，在國(guó)際合作的背景下，中國(guó)政府倡議建設(shè)開源社區(qū)。一個(gè)旗艦項(xiàng)目是基于Linux的紅旗操作系統(tǒng)，由中國(guó)科學(xué)院軟件研究所開發(fā)和發(fā)布。此后，圍繞紅旗操作系統(tǒng)，中方還與IBM、英特爾和惠普等美國(guó)企業(yè)合作，于2004年創(chuàng)建了“中國(guó)開源軟件推進(jìn)聯(lián)盟”。

同年，中國(guó)還與法國(guó)一系列機(jī)構(gòu)（如國(guó)立核科學(xué)技術(shù)學(xué)院、國(guó)家信息與自動(dòng)化研究所、源訊、意法半導(dǎo)體等）展開合作，開發(fā)開源基礎(chǔ)設(shè)施軟件棧，并成立了一個(gè)名為OW2的中間件開源平臺(tái)。此后，OW2改組成為一個(gè)獨(dú)立基金會(huì)，至今仍然存在。

隨著“脫鉤”言論甚囂塵上，中國(guó)也在持續(xù)建設(shè)獨(dú)立自主的本土開源社區(qū)。在伊朗和俄羅斯用戶被GitHub封號(hào)后，2020年，中國(guó)首個(gè)開源基金會(huì)“開放原子開源基金會(huì)”（OpenAtom）成立。

此后，2021年3月發(fā)布的“十四五”規(guī)劃中也首次將“開源生態(tài)”作為國(guó)家戰(zhàn)略重點(diǎn)，工業(yè)和信息化部還制定了“到2025年創(chuàng)建兩到三個(gè)具有國(guó)際影響力的開源社區(qū)”的目標(biāo)。

（二）美國(guó)：以“網(wǎng)絡(luò)安全”為名

1.聯(lián)邦政府中逐步推廣使用開源軟件

在1980年代，美國(guó)政府主要依靠定制的抓用軟件，而國(guó)防部就是最大買家。進(jìn)入90年代，開源軟件逐步成為聯(lián)邦政府信息系統(tǒng)基礎(chǔ)設(shè)施的后端。隨著科技巨頭對(duì)開源生態(tài)的介入，開源軟件也隨之滲透進(jìn)入政府內(nèi)部。

直到2016年，美國(guó)政府對(duì)開源項(xiàng)目采取了更堅(jiān)決的政策立場(chǎng)——鼓勵(lì)在聯(lián)邦政府內(nèi)部使用開源解決方案，并且推動(dòng)開源軟件在不同行政部門之間重復(fù)使用，而現(xiàn)有的專有軟件及解決方案可作為備用手段。

美國(guó)國(guó)防部首席信息官約翰·謝爾曼（John Sherman）在2022年1月的一份備忘錄中表示，政府使用開放源代碼有幾個(gè)好處：與小團(tuán)隊(duì)開發(fā)的軟件相比，持續(xù)的同行評(píng)審能在更大程度上確保軟件的可靠性和安全性；基于無限修改源代碼的能力，國(guó)防部能迅速適應(yīng)不斷變化的情況和需求；開源減少了與依賴專用軟件相關(guān)的風(fēng)險(xiǎn)和可能導(dǎo)致的限制；當(dāng)需要許多份軟件副本時(shí)，開源為軟件維護(hù)提供了財(cái)務(wù)優(yōu)勢(shì)；開源適合于創(chuàng)新的原型設(shè)計(jì)和實(shí)驗(yàn)。

謝爾曼也表示，開源模式也對(duì)國(guó)防安全帶來了相應(yīng)挑戰(zhàn)：首先，在關(guān)鍵系統(tǒng)中使用外部管理的代碼，也可能為敵對(duì)方創(chuàng)造突破口，導(dǎo)致惡意代碼被引入國(guó)防部系統(tǒng)；其次，按照開源生態(tài)的原則，國(guó)防系統(tǒng)也需要分享自己開發(fā)的代碼，導(dǎo)致一些關(guān)鍵的創(chuàng)新被泄漏。

為此，美國(guó)國(guó)防部既定的原則是，如果不是“關(guān)鍵技術(shù)”的組成部分，也可以在開源許可證下分享其開發(fā)的代碼。

2.Log4Shell事件之后，進(jìn)一步推動(dòng)開源生態(tài)政治化

Log4Shell事件導(dǎo)致美國(guó)人對(duì)開源的安全問題的關(guān)注遠(yuǎn)遠(yuǎn)超出了國(guó)防部的范疇，并顯著推動(dòng)了拜登政府將網(wǎng)絡(luò)安全問題“政治化”進(jìn)程。2022年1月，美國(guó)政府（商務(wù)部、國(guó)防部、能源部、國(guó)土安全部；網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局、國(guó)家標(biāo)準(zhǔn)和技術(shù)研究所NIST）、主要科技企業(yè)（亞馬遜、蘋果、谷歌、IBM、Meta、微軟）和開源大平臺(tái)（GitHub、Linux基金會(huì)、OpenSSF）在白宮舉行了一次會(huì)議，討論開源的安全及融資問題，并強(qiáng)調(diào)了政府在相關(guān)風(fēng)險(xiǎn)管控中的關(guān)鍵地位。

美國(guó)國(guó)會(huì)也已經(jīng)啟動(dòng)了立法工作。值得注意是，2022年通過的美國(guó)“競(jìng)爭(zhēng)法案”中在一項(xiàng)修正案中計(jì)劃建立一系列“關(guān)鍵技術(shù)中心”，其中包括一個(gè)開源中心，進(jìn)而允許政府資金能夠直接進(jìn)入所謂“最關(guān)鍵”的開源項(xiàng)目和工具中。

此外，美國(guó)政府在9月14日繼續(xù)發(fā)布指導(dǎo)方針，要求開源軟件產(chǎn)品經(jīng)由“聯(lián)邦風(fēng)險(xiǎn)和授權(quán)管理計(jì)劃”（FedRAMP）認(rèn)證的組織進(jìn)行評(píng)估。

此外，為了更好地識(shí)別海外個(gè)人或機(jī)構(gòu)對(duì)開源代碼的干擾風(fēng)險(xiǎn)，美國(guó)國(guó)防部高級(jí)研究計(jì)劃局（DARPA）在2020年宣布了一個(gè)名為SocialCyber的項(xiàng)目，該項(xiàng)目旨在“探索檢測(cè)和反擊可能針對(duì)開源軟件開發(fā)者社區(qū)的網(wǎng)絡(luò)社會(huì)行動(dòng)的能力，例如提交有缺陷的代碼或設(shè)計(jì)，針對(duì)開源軟件開發(fā)者和批評(píng)缺陷的維護(hù)者的社交媒體運(yùn)動(dòng)，以及通過誤導(dǎo)性的錯(cuò)誤報(bào)告，混淆技術(shù)討論和社會(huì)對(duì)開源軟件項(xiàng)目的職能權(quán)力的捕獲?！?

在此背景下，OSS也快速地緣政治化。即便一些開源組件并沒有任何安全問題，也遭到美國(guó)政府封禁，因?yàn)槠渲杏衼碜远砹_斯或中國(guó)的人員貢獻(xiàn)。

一些美國(guó)國(guó)防部的職員和供應(yīng)商就抱怨道，近期美國(guó)禁止了一些政府網(wǎng)絡(luò)加入用于存儲(chǔ)和傳送網(wǎng)頁的流行軟件NGINX，因?yàn)榕c該項(xiàng)目有關(guān)的一個(gè)開發(fā)者是俄羅斯人。

美國(guó)政策研究人員還煞有其事地分析了兩個(gè)結(jié)構(gòu)化開源項(xiàng)目（Python和JavaScript包）的前100名貢獻(xiàn)者的國(guó)籍信息，結(jié)果也不如他們所愿。在GitHub上，這些熱門項(xiàng)目的開源貢獻(xiàn)者中只有一小部分（不到10%）似乎是在俄羅斯或中國(guó)，大多數(shù)的貢獻(xiàn)者位于美國(guó)或其他國(guó)家。在一些軟件包中，沒有說明其地理位置的貢獻(xiàn)者的數(shù)量超過了50%，這使得分析的操作性不強(qiáng)。

基于當(dāng)前分析結(jié)果，美國(guó)并不能確定來自俄羅斯或中國(guó)的開發(fā)者是否真的在影響開源軟件，更不能確定他們是否在代表他們的政府行事。美國(guó)官員可能只是擔(dān)憂國(guó)際競(jìng)爭(zhēng)——在2020年和2021年之間，來自中國(guó)的GitHub開發(fā)者增加了15%，而俄羅斯則增加了30%。