OpenSSF报告：58%团队代码交付快于安全审查，开源基金会称AI是商业开源顺风

事件核心：发生了什么

2026年11月中旬，OpenSSF宣布扩大其AI安全资源，包括一份教团队用AI发现和修复漏洞的指南，覆盖从AI环境准备、沙箱隔离到验证、修复与预防的流程。指南明确强调，AI生成的补丁在未经自动化测试和人工审查前不应被信任，配套在线课程LFD126计划在接下来数月推出。

同时发布的《2026年AI对软件安全与网络安全影响状况》报告发现，AI驱动的开发速度与组织保障代码安全的能力之间差距在扩大：58%的受访团队交付代码的速度快于安全审查能跟上的速度，60%表示AI编程助手增加了代码库中的外部软件包数量。

Linux基金会还在Web Summit上发布商业开源（COSS）研究，调查225位创始人及企业负责人。72%受访者认为AI带来净正面影响，8%为负面；内部生产力是最常被提及的收益（73%），其次是市场扩张（46%）和新变现机会（39%）。多数公司策略未因AI改变，若调整，开源更多核心产品的可能性约为转向闭源的两倍。

为什么重要

两组数据指向同一个结构性变化：代码生产在变快，但安全审查和商业模式并未同步跟上。对开源生态而言，这意味着外部依赖和安全验证环节的压力上升，AI补丁不能绕过测试与人工复核。

商业开源公司的经验提供了参照。57%的受访企业将品牌认知与信任视为核心差异化，远高于企业功能、集成和社区规模；收入主要来自支持与服务（63%）、托管云（49%）和开放核心（43%），65%同时运行两种以上模式。托管云占比从年经常性收入500万美元以下的35%升至2000万美元以上的66%，说明公司倾向叠加模式而非切换模式。

对用户/开发者/创作者的影响

开发者使用AI编程助手时，需要把自动化测试和人工审查作为补丁合入的前置条件，而不是可选项；团队应关注AI引入的外部包数量，避免依赖膨胀带来供应链风险。对企业采购方，评估供应商时可留意其安全流程是否覆盖AI生成代码。对开源项目维护者，信任与品牌仍是用户选择的关键，但社区也需要为新角色做准备——Serena合伙人Matthieu Lavergne在公告中提出，开源已赢得开发者，下一步将赢得智能体，智能体会选择开放、经过验证且可信的项目。这一判断属于受访者与投资人的观点，目前公开信息显示尚需实践检验。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

值得关注的后续

一是OpenSSF的AI安全指南和LFD126课程能否在接下来数月如期落地并被团队采用；二是58%交付快于审查的比例在后续调查中是否收窄，反映安全工具是否跟上；三是商业开源公司“开源更多核心产品”的倾向是否转化为实际收入结构变化，以及智能体作为开源新用户的设想能否出现可核查的产品与定价案例。

来源：Slashdot