由前 SerenityOS 創辦人 Andreas Kling 領軍、正在從零打造的獨立開源瀏覽器 Ladybird,2026 年 6 月 5 日投下一顆震撼彈——正式宣布停止接受所有公開 Pull Request,未來所有程式碼改動,只會由專案維護者直接提交。
這不只是 Ladybird 自己的事,而是 AI 浪潮下,所有承載「不可信輸入」的開源基礎設施,第一次集體面對的治理難題。
一句話總結這次改變
「Ladybird 進入新階段。我們不再接受公開 PR——未來程式碼改動,只由維護者引入。」—— Andreas Kling,2026/06/05
為什麼 Ladybird 要這樣做?
Kling 在官方公告中,把決策邏輯講得非常清楚——這不是開源倒退,而是開源信任模型必須升級。
1. AI 把「貢獻的可信度訊號」徹底打掉了
過去幾十年,開源專案靠的是「貢獻篩選信任」:你進來、送 patch、扛責任、長期待下來——維護者自然知道你是誰、能信幾分。
Kling 寫道:
「AI 工具徹底改變了這個經濟學。我們自己每天也在用,但一個 PR,再也無法像過去那樣告訴我們提交者是誰。 一個看起來很有份量的 patch,以前代表的是真正的投入;那份投入本身就是誠意的合理代理。現在這個假設不再成立。」
對瀏覽器來說,這個問題特別嚴峻——瀏覽器是直接在使用者機器上執行整個網際網路不可信輸入的軟體,只要一個藏得夠深的漏洞,攻擊者就夠了。
2. 開源供應鏈攻擊早已是「耐心遊戲」
Ladybird 團隊明確指出:他們已經觀察到有耐心、資源充足的攻擊者,在開源圈潛伏多年,只為了取得維護者信任後一次出手。
而 AI 的出現,讓「偽裝成認真貢獻者」這件事的成本,從「幾個月」壓縮到「幾小時」。
3. 誰負責,比「誰寫的」更重要
Kling 的核心論點其實是責任歸屬:
「不管程式碼是手寫還是 AI 生成,進了 Ladybird,就是我們的責任。 它必須符合架構、未來重構時還要撐得住、跟瀏覽器其他部分互動要正確,而且維護者要能看懂它。」
Ladybird 即將發布第一個 alpha 版,給「真實使用者」用——這種階段,任何進入專案的程式碼,必須由能決定它「該不該存在」的人,自己親手放進來。
這次改動,實際做了什麼?
| 動作 | 內容 |
|---|---|
| 停止公開 PR | 即日起,所有對 Ladybird 程式碼的改動,只能由專案維護者直接提交 |
| 關閉所有現存公開 PR | 為了不留下「事實上仍開放」的口子,所有開著的外部 PR 全部關閉(感謝但不併入) |
| 不設替代管道 | 透過 issue、留言、email、fork 提交的 patch,不會被當作 review queue 處理——Ladybird 不想養出影子貢獻系統 |
| 保留所有非程式碼貢獻 | bug 回報、regression 縮小、網站測試、標準討論、設計討論、安全通報、技術回饋——這些仍然歡迎 |
| 保持開源 | 程式碼仍以開源授權公開,任何人都能 fork、修改、自行發布 |
社群怎麼看這件事?
這篇公告在 Hacker News 上當天衝到 438 分、285 則留言,引發激烈辯論:
- 支持方(主流聲音)認為這是負責任的決定——瀏覽器容錯率太低,AI 偽造貢獻的攻擊面太大
- 擔心方則指出「關掉 PR 等於同時關掉新維護者的入行管道」,社群多樣性會受損
- 歷史派搬出集市 vs 大教堂的經典辯論,認為這只是回到 Linux 核心、OpenBSD 早就採用的「小圈圈 maintainer 模式」
- 比較派指出諷刺的是:Chromium / Gecko / WebKit 反而因此「比 Ladybird 更開放」了——這些專案靠 Google / Mozilla / Apple 員工撐起 90% 改動,外部 PR 本來就少
- 現場派則爆料:作者 Andreas Kling 自己也常一天送好幾個 1000+ LOC 的 PR 然後當天合併、沒有 review——AI 不談,光這個開發節奏就很有爭議
這對開源世界意味著什麼?
Ladybird 不是第一個這樣做的專案。Linux 核心、OpenBSD、SQLite、PHP 早期,都長期是「小圈圈 maintainer 模式」,照樣活躍了二三十年。
但這是 AI 工具普及後,第一個有完整公開論述、且明確把「AI 生成的偽貢獻」當作主要威脅模型的開源瀏覽器專案。
對其他關鍵基礎設施的訊號
- 瀏覽器引擎:Chromium / Firefox / WebKit 早就靠 Google / Mozilla / Apple 員工撐起 90% 改動,外部 PR 本來就少,影響小
- Rust 關鍵 crate:Serde、tokio、hyper 高度依賴個人 maintainer,AI 垃圾 PR 已經塞爆 issue tracker——這種專案可能會是下一波跟進者
- NPM / PyPI 生態:太多小型 package 連 maintainer 都沒有,根本談不上審查——這才是真正的定時炸彈
給一般開發者的提醒
Ladybird 的決定不代表開源已死,而是開源正在被迫演化——從「來者不拒、集體審查」的 1990 年代模式,走向「小圈圈核心 + 開放式監督」的混合模式。
對想參與開源的人來說,訊號很清楚:
- 寫 patch 已經不是進場券,bug 重現、標準討論、安全研究、文件改進,這些「非程式碼貢獻」反而更稀缺
- 長期蹲點比爆量 PR 重要——信任是時間換來的,AI 換不來
- 選專案時看 maintainer 結構——只有 1-2 個人的「關鍵基礎設施」,可能比你想像的脆弱
結語
Ladybird 的公告只有大約 600 字英文,但它說清楚了一件事:在 AI 能產出「看起來很認真的貢獻」的時代,開源最值錢的資產,從程式碼本身,變成了「誰來決定這段程式碼進不進來」這個判斷。
瀏覽器是所有使用者上網的入口,容錯率最低。Ladybird 選了一條更保守但更負責的路。
接下來,就看其他關鍵基礎設施跟不跟了。
網友熱門留言 (6)