本周，Linux 基金会旗下的开源安全基金会（OpenSSF）宣布将扩展其人工智能安全资源，其中包括一份关于利用 AI 查找和修复漏洞的新指南。该指南涵盖了从准备和沙箱化 AI，到验证、修复及预防问题的全流程。
OpenSSF 在指南中强调，未经自动化测试和人工审查的 AI 生成补丁绝不可信。此外，该组织计划在未来几个月内推出一门在线课程（LFD126）。
与此同时，OpenSSF 还发布了《2026年人工智能对软件安全和网络安全影响现状报告》。该报告由 OpenSSF、ActiveState 和 Linux Foundation AI & Data Foundation 共同支持。数据显示，AI 驱动的软件开发速度与组织保障代码安全的能力之间正出现日益扩大的差距。
- 58% 的受访团队表示，其代码发布速度超过了安全审查的处理能力。
- 60% 的团队指出，AI 编码助手导致其代码库中的外部包数量增加。
这些数据凸显了在 AI 部署持续增长的背景下，提供可信、可靠指导的重要性。
AI 时代商业开源的价值重构
在本周举行的 Web Summit 上，Linux 基金会发布了一项新研究，探讨“商业开源公司如何创造收入、将用户转化为客户以及构建业务”，并强调了这一问题在 AI 时代的新相关性。
随着 AI 几乎可以免费编写代码，整个软件行业面临一个严峻问题：如果代码成本趋近于零，软件的价值究竟何在？
商业开源（COSS）公司已回答这个问题超过 30 年。他们通过赠送代码建立了庞大的业务体系，这为 AI 时代的软件盈利模式提供了重要参考。
调查显示：
- 72% 的受访者认为 AI 带来了净正面影响，仅有 8% 认为产生了负面影响。
- 目前的收益主要体现在公司内部。内部生产力是最常被提及的好处（73%），其次是市场扩张（46%）和新变现机会（39%）。
- AI 相关职位是唯一实现净增长招聘类别。
值得注意的是，AI 并未显著改变 COSS 公司的整体战略。但在进行适应性调整时，这些公司开放更多核心产品的可能性是转向封闭策略的两倍。
当被问及竞争优势时，57% 的公司将品牌认知度和信任度列为首要因素，远超企业功能、集成能力和社区规模。它们通过以下方式将信任转化为收入：
- 支持与服务（63%）
- 托管云（49%）
- 开放核心模式（43%）
大多数公司采用混合模式：65% 的企业运行两种或以上的收入模型。随着公司规模扩大，它们倾向于叠加而非切换模型。例如，托管云的使用率从 ARR（年度经常性收入）低于 500 万美元公司的 35%，上升至 ARR 超过 2000 万美元公司的 66%。此外，获得风险投资支持的公司更倾向于采用开放核心模式（53%），而其他公司这一比例为 38%。
该报告基于对 225 位商业开源创始人和企业领导者的调查，由 Linux Foundation Research 与 Serena 合作发布，并得到 AWS、Red Hat、Futurewei 和云原生计算基金会（CNCF）的赞助。
CNCF CTO Chris Aniszczyk 表示：“在开源领域，超过半数的创始人将品牌认知度和社区信任视为最大资产。”
报告结论指出：“今年的发现证明，AI 并非商业开源软件的威胁，而是加速发展的顺风车。鉴于 72% 的公司主要因内部生产力提升而视 AI 为净正面因素，生态系统正进一步向协作倾斜。”
从开发者到智能体
风险投资公司 Serena 合伙人 Matthieu Lavergne 提出了一个有趣的观点：“开源赢得了开发者。接下来，它将赢得智能体（Agent）。我们调查的 225 位创始人大多目前仅将 AI 视为生产力工具，但这只是开始：智能体将成为开源最大的用户群体，它们会选择那些开放、经过验证且值得信赖的技术。那些为这些新用户构建并定价的创始人，将定义 AI 时代的基础设施。”
