开源软件
公开源代码的软件项目，允许任何人查看、修改和分发，通常托管在代码托管平台上
核心事实
时间轴 (近 90 天)
开源软件并不意味着自动安全，审计需要专业知识和时间投入，许多开源项目并未获得充分审查。
开源软件项目常依赖对现有代码的阅读、学习和借鉴，合理使用为这种实践提供了法律缓冲。
在开源场景中，CVD 尤其复杂，因为一个库可能被数千个项目间接依赖，维护者需要逐层通知下游，且各项目的披露政策与响应能力参差不齐。
开源公共基础设施指被广泛依赖但往往由少数志愿者或小团队维护的开源项目，例如 OpenSSL、cURL、log4j 等。
隔离实验性功能的常见做法包括通过 feature flag、独立命名空间或 optional 依赖，使默认构建仍保持稳定。
在开源软件发布惯例中，「实验性」（experimental）或「预览」（preview）标记是一种明确的风险承诺：这些代码路径尚未经过完整的回归测试、边界用例验证和长期稳定性观察，其 API、配置项乃至底层实现都可能在后续版本中被重写甚至移除。
一款新软件即使完全开源、代码审计通过、承诺不传数据，它依然可能运行在美国公司控制的平台上、依赖美国公司维护的运行时、通过美国公司签发的证书分发更新，任何一层都可以成为施加控制的切入点。
当前多数所谓‘开源模型’实际上只开放权重，训练细节仍属商业机密。
开源软件使文件传输工具的安全性可以由社区共同验证，而非仅依赖对开发者的信任
开源软件的信任基础历史上建立在可审计性而非来源纯洁性上，任何人都可以阅读源代码并验证其行为
还有 13 条时间轴事件
全部知识事实 (20)
当前多数所谓‘开源模型’实际上只开放权重，训练细节仍属商业机密。
65%待验证开源软件并不意味着自动安全，审计需要专业知识和时间投入，许多开源项目并未获得充分审查。
50%待验证开源软件项目常依赖对现有代码的阅读、学习和借鉴，合理使用为这种实践提供了法律缓冲。
50%待验证在开源场景中，CVD 尤其复杂，因为一个库可能被数千个项目间接依赖，维护者需要逐层通知下游，且各项目的披露政策与响应能力参差不齐。
50%待验证开源公共基础设施指被广泛依赖但往往由少数志愿者或小团队维护的开源项目，例如 OpenSSL、cURL、log4j 等。
50%待验证隔离实验性功能的常见做法包括通过 feature flag、独立命名空间或 optional 依赖，使默认构建仍保持稳定。
50%待验证在开源软件发布惯例中，「实验性」（experimental）或「预览」（preview）标记是一种明确的风险承诺：这些代码路径尚未经过完整的回归测试、边界用例验证和长期稳定性观察，其 API、配置项乃至底层实现都可能在后续版本中被重写甚至移除。
50%待验证一款新软件即使完全开源、代码审计通过、承诺不传数据，它依然可能运行在美国公司控制的平台上、依赖美国公司维护的运行时、通过美国公司签发的证书分发更新，任何一层都可以成为施加控制的切入点。
50%待验证开源软件使文件传输工具的安全性可以由社区共同验证，而非仅依赖对开发者的信任
50%待验证开源软件的信任基础历史上建立在可审计性而非来源纯洁性上，任何人都可以阅读源代码并验证其行为
50%待验证开源捐赠伦理中，捐赠者的钱是否可用于支付AI的token费用目前社区并无共识
50%待验证大量关键开源项目长期由少数志愿者无偿维护，存在激励不足和维护者倦怠（burnout）风险
50%待验证复杂的系统级项目（操作系统、数据库、编译器、大型框架）需要长期社区协作、架构决策和信任积累，无法靠智能体随手生成
50%待验证完全开源通常要求公开数据集和训练流程
50%待验证历史上开放的软件生态（如Linux和密码学工具）证明公开审查往往带来更强的健壮性而非更多风险
50%待验证开源软件的核心价值在于代码的公开可审计性，任何人都可以通过阅读源代码验证程序的实际行为
50%待验证对于会接触密码、Token、身份证号等高敏感数据的剪贴板类工具，开源的可审计性是选型时的重要考量维度
50%待验证依赖单点维护的开源工具存在生命周期风险
50%待验证当无法彻底关闭软件的AI功能时,切换到更注重简洁和隐私的开源替代品是更彻底的解决方案
50%待验证开源软件允许用户或安全研究人员审计源代码，确认其是否仅在本地操作而未发送数据到外部服务器
50%