2026-10-26周一

Linux 基金会新报告量化了 AI 对开源的冲击：提交变快，维护者更累。

报告统计了开源项目的代码提交情况，约四分之一的外部 PR 被判定为低质量「AI 垃圾」，即由 AI 批量生成、未经人工核对的补丁。AI 让写代码速度提升 52%，但审核、复现问题、来回沟通的成本全部压在维护者身上。也就是说，提效的收益归提交方，成本归维护方。对开源治理的直接含义是：项目需要新的准入门槛，比如提交者声明、自动化初筛、对低质量提交设限。

AI 算力扩张的用地代价，在芬兰变成了具体的社区冲突。

为建造数据中心，Google 在芬兰农村清出约 1300 英亩林地、砍伐 25 万棵树，甚至铲除了表层土壤；芬兰监管机构以环评不完整为由叫停施工，Google 芬兰高管已道歉。后果之一是林中猎物减少，狼群进入附近村庄觅食。这条把 AI 基础设施的电、水、土地代价具体化了，也说明数据中心的选址正在成为真实的社区议题。

一个民间项目用仓颉复刻了 Tauri 的思路，产物只有几 MB。

开发者用华为仓颉语言实现了类似 Tauri 的桌面框架 cj-tauri：前端照写 Web，后端是原生二进制，中间用进程间通信加能力白名单，网页渲染交给系统自带 WebView，最终产物 4.7 到 10MB，MIT 许可。Electron 应用动辄上百 MB、内存占用高，这类方案正是冲着这个痛点去的。同时它也是仓颉语言生态的一次民间试水，可作为国产编程语言落地情况的观察样本。

用 Docker 一键部署、数据留在本地的 Jira 替代品。

Reqmango 是面向团队的开源项目管理工具，用 Docker 一键部署，数据存在自己的机器上，对标 Jira 的工作项类型、工作流与自动化。它额外做了需求入口的自动分诊：新需求先给出类型、优先级和疑似重复建议，拿不准的再交给人判断。它回应的是三个现实问题：云端订阅成本、数据驻留合规要求、以及需求入口靠人工分诊的低效。

国内高使用率的 Java 持久层增强工具包发布常规更新。

MyBatis-Plus 是 MyBatis 的增强工具包，主要作用是省掉数据库增删改查的重复样板代码，在国内 Java 项目里装机量很高。本次 3.5.18 属于版本迭代，使用该框架的团队应关注变更日志中是否有影响现有配置的调整。这条不是行业级新闻，但作为基础组件的更新，国内开发团队的升级决策会受它影响。

一种把「谁在请求」和「请求了什么」拆开的隐私转发方案。

Cloudflare 推出 OHTTP 网关，明确不会解密通过它转发到源站的请求。OHTTP（Oblivious HTTP）的作用是把身份和内容分离：网关只知道来源、看不到内容，源站只看到内容、不知道来源，两边信息对不上。这类隐私基础设施对自建网站的开源项目和重视用户隐私的团队有直接价值，也意味着隐私保护正在从口号变成可用的标准组件。

一个主流开源社区用版规把 AI 生成项目和非英语使用者挡在门外。

r/opensource 版主发布新投稿规则，禁止使用 AI 制作、或由 AI 生成的项目帖，同时限制非英语发帖。背景是 AI 工具让发布门槛降到极低，低质项目推广和跨语言刷屏冲淡了真人交流。这是社区自发的一次防御性治理，和 Linux 基金会的报告互为印证。争议点也很明显：一刀切会误伤真正做项目的非英语开发者。

内核维护者在提交说明里直接抱怨：AI 带来的补丁太多。

SUSE 的 Linux 声音子系统维护者 Takashi Iwai 在提交 7.4 版本的合并请求时写道「AI 的洪流还在继续」，指补丁数量因 AI 工具明显增加，且大量来自新手或自动化流程，需要逐条甄别。内核是开源协作流程最严格的场景，这里出现的情况可以看作其他项目不久后的样子。值得关注的是维护者精力这一隐性成本，它不会体现在任何提交统计里。

漏洞不用登录就能在服务器上执行任意代码，补丁前四天已有攻击尝试。

PHP 发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，修复两个严重漏洞，攻击者无需认证即可远程在服务器上运行自己的程序。亚马逊观测到补丁发布前四天就出现了利用尝试，说明漏洞已被真实利用而非理论风险。PHP 仍支撑大量网站和建站系统，凡是用到 PHP 的服务都应立即升级到对应修复版本。

TiDB 背后的公司确认内部系统被未授权访问，源码泄露。

PingCAP 确认内部系统遭到未授权访问，源代码和客户相关数据被窃，勒索组织 FulcrumSec 声称对事件负责并宣称窃取了大量数据。PingCAP 是国产分布式数据库 TiDB 的开发商，在国内有大量企业用户。这件事的提醒是：代码开源不等于公司内部系统安全，采用开源产品的企业需要重新评估供应商侧的信任边界和数据处理链路。

图片处理库 ImageMagick 集中修复 8 个漏洞，高危项可被一张恶意图片触发。

受影响版本为 ImageMagick 6.9.13-58 和 7.1.2-33 之前。其中 CVE-2026-116149 为高危栈溢出：攻击者构造一个 bzip2 压缩的图片文件即可触发，可能导致服务崩溃甚至代码执行。其余 7 个包含安全策略绕过、MVG 编码器注入、内存泄漏、递归溢出和越界读。ImageMagick 被大量网站、CMS 和 SaaS 当作图片转码后端，凡是允许用户上传图片再做处理的服务都应尽快升级。

两家公司把主流训练框架直接接到英伟达之外的硬件上。

在 PyTorch 大会北美站，Google 和 Meta 开源了 TorchTPU，这是让 PyTorch 代码原生运行在 Google TPU 上的后端，不需要额外改写。Meta 表示计划把更大规模的大模型训练负载迁移到 TPU。长期以来 AI 训练被英伟达的 CUDA 生态锁定，把主流框架接入第二家硬件是打破锁定最实际的一步，对开源侧意味着训练栈的可移植性提高、硬件议价空间变大。

一个 Apache 2.0 的推理引擎，抹平不同 GPU 的差异。

Google 发布 ML Drift，一个跨平台 GPU 计算引擎，专门用于手机、PC 等设备上的本地 AI 推理，采用 Apache 2.0 许可。它把不同厂商 GPU 的底层差异封装起来，开发者不用为每类硬件重写推理代码。端侧推理是 AI 落地的重要方向，而跨厂商的 GPU 抽象层正是当前生态里最缺的一块，这一步也会影响其他端侧推理框架的竞争格局。

一份分析认为，巨额投入尚未转化为科技业外企业的财务收益。

Apollo 的经济学家在分析中指出，尽管投入巨大、炒作热烈，AI 对美国科技行业以外的企业「财务回报为零」。这不是说技术没用，而是说投入产出还没有体现在财报数据上。对开源社区的参照意义在于：企业 AI 预算会更集中到能直接变现的少数场景，通用工具和基础设施类的投入将更谨慎，靠 AI 概念争取预算的项目会遇到更严的追问。

Android 依赖最深的底层组件之一，在内核里换成了 Rust 实现。

Linux 7.4 的 char/misc 合并中，Google 用 C 写的 Binder 驱动被删除，由 Rust 重写的 Binder 接手，后者将服务「数十亿设备」，主要指 Android。这不是新增一个实验性驱动，而是替换掉一个被 Android 深度依赖的老组件，是 Rust 进入内核核心路径的标志性一步。对关注内存安全漏洞的团队来说，这是最有力的现实案例。

Fedora 45 的发布评审结论是 No-Go，需要推迟。

Fedora 开发邮件列表公布 Fedora 45 的发布评审结果为 No-Go，即当前的候选版本不能按计划作为正式版发布，通常会退回修复阻塞性缺陷后重做候选版本。Fedora 是 RHEL 和 CentOS Stream 的上游，它的节奏会传导到企业发行版。具体阻塞原因需看邮件原帖，但对使用 Fedora 的团队来说，升级计划要往后排。

免版税的下一代视频编码标准开始落地，开源编码器同步跟进。

开放媒体联盟发布新闻稿推动 AV2 的早期采用，同时 SVT-AV2 编码器正在开发。AV2 是免版税的下一代视频编码标准，对标要收专利费的 HEVC 和 VVC。标准能否真正普及，关键看两点：浏览器和流媒体平台的支持节奏，以及开源编码器能否在速度和画质上跟上。SVT 系列的进展直接决定这一点。

搜索直接给答案后，内容网站的流量和收入受到实质影响。

文章梳理了 Google 在搜索结果中加入 AI 摘要之后，外部网站的点击量下滑，依赖搜索流量的内容站点收入受挫，出版方的商业模式被迫调整。这对开源社区是间接但真实的影响：开源项目的文档、教程、博客同样依赖搜索引流，流量结构变化会影响项目曝光、赞助转化和开发者写技术内容的动力。

一本追踪全球数据中心扩张的书，给出各地抵制运动的经验。

Wired 访谈《Hyperscale》作者 Paris Marx，梳理爱尔兰、新西兰等地反对数据中心的案例，为美国正在兴起的抵制提供参照。核心矛盾是数据中心占用电、水和土地，但当地拿到的就业和税收与代价不对等。随着 AI 算力需求推高建设速度，社会许可问题会越来越直接地影响项目选址和工期，这一点国内的数据中心项目同样绕不开。

补齐 Linux 新显示协议在远程桌面上的长期短板。

Wayland 核心开发者 Simon Ser 提交了 ext-transient-output 协议的合并请求，目标是让 VNC 这类远程桌面软件更好地处理多显示器和临时输出设备。Wayland 是 Linux 桌面的新一代显示协议，远程桌面和屏幕共享长期是它的弱项，直接影响 Linux 桌面在企业环境中的可用性。这类协议一旦合入，各家远程工具才谈得上跟进。

独立内核项目 Redox OS 公布九月进展，做了一轮性能优化。

Redox OS 是用 Rust 从零编写的开源操作系统，九月状态更新显示其完成了一轮性能改进。它不是 Linux 的发行版，而是另起炉灶的内核，价值在于验证「用 Rust 写整个操作系统」这条路是否走得通，也为内存安全的设计提供了实验场。目前它仍不适合日常使用，但进展值得跟踪。

AI 生成的长片段已经能看，但离作品还有距离。

Grok 发布了由其 AI 生成的影片《奥德赛》的前七分钟。TechCrunch 的评价是画面还过得去，但谈不上艺术性、灵感或人文关怀。这条的实际意义不在影片本身，而在于 AI 视频生成已经能产出可连贯观看的数分钟内容，这对内容生产流程、版权归属和素材授权规则都会带来现实问题。

基于 Firefox 的开源浏览器，接住了 Arc 用户流失的空档。

Arc 浏览器被 Atlassian 收购后逐步停摆，让不少用户失去一个重新设计过交互的浏览器。Zen 基于 Firefox 构建，保留侧边栏、工作区等设计思路，且是开源项目，代码可查、不会被单一公司说关就关。对依赖浏览器工具链的团队，这是一个值得评估的替代选项，也再次说明开源在工具类软件里的兜底价值。