本文来自微信公众号“启元洞见”。
导语：2026年9月7日，英国数字、文化、媒体与体育部（DCMS）发布《开源软件与人工智能网络安全文献研究》（A Study of Cybersecurity Literature on Open-Source Software and AI）。研究系统梳理43篇同行评议论文、172份灰色文献（政府、标准组织、产业机构的公开报告与白皮书），并分析多平台样本，试图回答：当开源从代码扩展到模型权重、训练数据、微调流程和推理工具后，既有软件安全框架还能覆盖多少风险？研究发现，传统开源软件（OSS）的供应链安全已形成较成熟的风险识别和安全防护手段（Mitigations），而开源人工智能（OSAI）在定义、模型溯源机制、完整性校验、分发平台治理和治理措施的实证评估方面仍存在显著缺口。
一、从“开源软件”到“开源人工智能”：定义分歧已成治理问题
开源软件的概念边界相对稳定。开放源代码促进会（OSI）的“开源定义”（OSD）仍是政府、产业和学术界最常采用的参照，其核心涉及自由再分发（允许售卖或分发软件，不得收取版税）、源代码可获得以及不得针对个人、群体或应用领域实施歧视（不能排除任何人、任何群体使用软件；不能禁止商业、军工等特定场景使用）。
开源人工智能的情形明显不同。现有文献中至少存在三种并行框架：第一种是“软件中心”视角，只要源代码及机器学习库可访问，即可被视为开源。第二种是“开放权重”视角，以模型参数能否公开下载、检查和再利用作为核心标准。第三种是“供应链”视角，开放源代码促进会于2024年10月发布“开源人工智能定义1.0”（OSAID），将开放性延伸到数据采集、预处理、训练基础设施、推理工具及代码发布，试图覆盖人工智能开发的完整生命周期。
按照这一标准，许多通常被称为“开源”的模型并不满足完整开放要求。定义差异具有直接治理后果。当“开源”身份能够触发监管豁免、降低合规义务或改变责任分配时，模糊术语会转化为制度漏洞。以“开源人工智能定义1.0”为起点，有必要同时区分完全开放、开放权重和部分开放，并按实际开放层级配置模型溯源、文档披露和安全验证义务。
二、风险谱系：成熟的供应链攻击与新兴的人工智能上游风险
依据现有证据，潜在风险可分为四类。其中，前两类已有较充分的现实案例和技术研究，后两类主要伴随开源人工智能扩散而出现。
第一类是传统开源软件与开源人工智能共同面临的供应链攻击。依赖混淆攻击（Dependency Confusion）会利用包管理器优先解析公开仓库中的恶意软件包；恶意包注入则把攻击代码伪装为正常工具，甚至长期潜伏；维护者退出或账户被接管后，攻击者还可能取得合法发布权限。2021年Log4Shell事件、2024年的XZ Utils后门事件等推动软件物料清单（SBOM，机器可读、结构化的正式文档，完整枚举软件产品所使用的全部组件、第三方程序库、开源软件包及其依赖层级关系）、依赖扫描、漏洞披露和安全开发生命周期逐渐成为成熟防护工具。
第二类是已部署人工智能系统面临的对抗性攻击，包括规避攻击、模型提取和投毒攻击。规避攻击通过精心构造输入诱导模型误分类或错误输出；模型提取通过持续查询输出反向重建功能相近的模型；投毒攻击则在训练前或训练过程中引入恶意数据，改变模型后续行为。这些风险并非开源模型独有，但模型公开会改变攻击者获取信息和复制系统的成本，因而影响攻击面和风险传播方式。
第三类是人工智能特有的上游风险（上游指模型训练、数据集处理、权重生成、微调的开发构建阶段）。开源权重发布后，模型参数可能被篡改，以植入后门、改变输出或削弱安全功能；训练数据污染可以在源头塑造模型行为；微调管线、训练检查点和中间制品若缺乏来源追踪，也会形成新的完整性缺口。传统软件可以通过更新代码推动用户修补，但模型权重一旦被公开下载，其副本会持续存在，后续安全修订无法确保旧版本被撤回。因此，开放权重模型需要在发布前完成更严格的来源验证与风险评估。此外，人工智能辅助编程，如“氛围编程”（vibe coding），也开始成为上游供应链风险。
第四类风险集中在模型托管与代码分发平台。Hugging Face和GitHub已成为开源人工智能与开源软件的重要基础设施，但平台规范对来源证明、模型完整性和安全文档的要求仍有限。在Hugging Face最常下载的1万个采用宽松开源许可证的模型中，仅15个模型卡包含与安全直接相关的内容，不足0.2%；开发者随机选择一个模型时，大约只有1/667的概率能在模型卡中找到安全信息。GitHub分析识别出约2000个同时包含人工智能与安全关键词的仓库，其中仅131个、约6%包含具有实质意义的安全内容。
三、防护现状：传统开源软件已有成熟工具，开源人工智能仍缺可验证机制
传统开源软件的安全治理已经形成包括软件物料清单、自动化工具、漏洞管理框架等在内较为完整的工具链，并形成可重复、可审计的工程流程。开源人工智能的安全防护手段则明显不足。对43篇学术研究的系统梳理发现，尚无专门针对开源人工智能产品、且经过充分验证的成熟治理体系。现有研究多集中于通用人工智能安全，例如对抗训练、异常检测、区块链辅助模型溯源或安全评估，但这些方法往往假定模型所有者能够持续控制系统。事实上，开放权重发布后，第三方可以复制、修改、移除保护措施并重新分发，许多部署阶段的防护机制无法随模型副本一同存续。
目前相对有力的证据来自英国人工智能安全研究所（AISI）的模型评估工作。研究显示，在预训练阶段进行数据过滤，对抵抗恶意微调的效果比发布后的防御措施高出10倍以上，且不会带来显著性能损失。这类措施能够在模型权重公开后继续发挥作用。完整访问审计（full-access audits）同样较可靠，评估方可无限制获取模型权重、训练数据、配置等全部核心资料。然而，一旦开放权重进入公共流通，目前没有任何技术能够对其后续安全行为提供硬性保证。
人工智能领域迫切需要类似软件物料清单的溯源和文档机制。Linux基金会正在以系统软件包数据交换规范3.0（SPDX 3.0，用于软件物料清单交换的国际开放标准）推进“人工智能物料清单”（AI BOM或AIBOM），试图记录模型组件、训练数据、模型谱系、微调历史、已知漏洞及配置等信息；七国集团（G7）在2025年的相关工作中也将人工智能溯源文档纳入讨论。此外，对于部分开放的系统，也应当对系统已公开与未公开的内容均予以记录，使治理责任落实到可审计层面。
四、治理重心：监管趋同、平台责任与国际标准
主要法域对开源安全的治理路径已经出现差异。欧盟《网络韧性法案》（CRA）对投放欧盟市场的数字类产品设置强制性网络安全义务，要求漏洞披露、安全更新（专门用于修复、缓解安全漏洞的软件更新）；在部分商业部署场景下，该规则同样适用于集成了开源组件的产品。美国整体更依赖自愿框架。美国国家标准与技术研究院的人工智能风险管理框架（AI RMF）、软件供应链指南，以及美国网络安全和基础设施安全局（CISA）的开源软件安全路线图均提供了较成熟的实践要求，但普遍不构成强制性法律义务。英国延续“支持创新、风险为本”的治理思路，更多依赖指南、行为准则、研究评估与国际标准协同。英国科学、创新和技术部发布的《人工智能网络安全实践准则》（the AI Security Code）目前仍属自愿性工具，其政策效果取决于平台、开发者和采购方能否将要求嵌入实际流程。
跨法域比较显示，较稳定的共同原则已经出现：安全设计、供应链透明、与风险相称的治理以及溯源机制。对开源软件而言，各大体系已在软件物料清单、漏洞披露和安全开发方面形成明显趋同；对开源人工智能而言，国际协调仍处于较早阶段。开源人工智能定义1.0提供了共享的定义基础，国际标准化组织、欧洲电信标准协会（ETSI）等正在推进人工智能可信、安全与生命周期治理标准，七国集团和经济合作与发展组织（OECD）则构成更广泛的政策协调平台。当前缺口主要在于如何把共同原则转化为跨法域一致、可执行和可审计的具体义务。
平台治理因而成为最具现实可操作性的环节。Hugging Face的模型卡框架（model card framework）已经要求开发者披露模型用途、限制、训练数据来源、评估结果和已知风险；GitHub则提供安全公告、依赖自动更新工具和密钥扫描等工具。但大量项目并未主动填写高质量安全信息，单纯依靠自愿披露难以形成规模化治理。研究建议，将最低文档标准、贡献者验证、模型完整性验证和模型溯源要求直接嵌入分发平台，让下游用户在采用模型或组件前获得基本风险判断依据。
五、结语
开源软件与开源人工智能共享供应链依赖、社区协作和跨平台分发等结构性特征，人工智能又引入模型权重、训练数据、微调流程、检查点和推理基础设施等新的安全对象。目前，开源人工智能仍处于定义和治理机制快速成形阶段，未来治理需要同步推进五项工作：一是依据差异化治理要求建立开源软件与开源人工智能分层定义；二是发展人工智能溯源机制与文档标准；三是将最低安全要求嵌入模型托管和代码分发平台；四是明确现有证据边界并持续开展实证评估；五是参与国际标准与监管规范塑造。开源人工智能的安全治理，最终取决于能否把“开源”转化为可验证、可追踪、可问责的全生命周期机制。
（本文内容系“启元洞见”公众号原创编译，转载时请务必标明来源及作者）
参考来源：英国数字、文化、媒体和体育部（DCMS）
参考题目：A Study of Cybersecurity Literature on Open-Source Software and AI
参考链接：https://www.gov.uk/government/publications/a-study-of-cybersecurity-literature-on-open-source-software-and-ai/a-study-of-cybersecurity-literature-on-open-source-software-and-ai
