开源并未消亡。Cal.com因担忧AI自动化漏洞挖掘而转向闭源，但Strix作为开源安全平台认为，AI改变了安全格局，透明性仍是优势而非弱点。双方在保护用户安全的初衷上一致，但对开源价值的判断存在分歧。

开源并未消亡

近日，Cal.com宣布将核心代码库转为闭源。其CEO Bailey Pumfleet解释称，AI技术已实现大规模自动化漏洞挖掘，使得代码扫描和利用成本趋近于零。他们认为，在这个新时代，"透明度等同于暴露风险"。

作为一家开发自主AI安全代理的开源项目（GitHub星标超2.4万），我们Strix团队对此有不同见解。虽然理解Cal.com保护用户的初衷，但我们坚信闭源并非应对AI安全威胁的良方。

【闭源的三大误区】

1. 黑盒AI无需访问代码库 现代自主AI代理擅长黑盒/灰盒测试，通过动态交互、流量分析等手段就能发现业务逻辑漏洞。闭源仅会失去社区监督，却无法阻挡外部探测。

2. 安全隐匿性对抗自动化必败 面对7×24小时工作的AI攻击者，依赖人工审计的闭源团队如同用算盘对抗超级计算机。历史证明，隐匿性策略终将失效，在AI时代这一进程将呈指数级加速。

3. 正确解法：以AI制AI 真正的解决方案是将AI防御深度集成到开发生命周期：

• 在CI/CD管道部署自动化安全测试
• PR提交时即时触发AI漏洞探测
• 基础设施变更后自动评估攻击面

【开源的新纪元】

虽然"人海战术找漏洞"的时代可能终结，但开源精神永存。我们坚持Strix开源，因为： 1. 透明度创造更强健的代码 2. 防御工具应与攻击工具同等普及 3. 唯有武装开发者自主安全代理，方能对抗AI黑客

（注：为保护漏洞披露流程，本文不讨论具体未修复漏洞。欢迎免费试用Strix体验AI驱动的持续安全测试。）

以下是评论内容的总结：

支持开源的观点

1. 开源有助于安全：通过“众眼监督”（many eyes）可以发现并修复漏洞，而闭源软件可能被AI利用而不被发现。

   • "Closed source software won't receive any reports, but it will be exploited with AI." (评论2)
   • "Closing your source doesn't close your attack surface, it just closes the community that would have helped you defend it." (评论13)

2. 开源促进信任和创新：开源项目可以建立用户信任，并鼓励社区贡献。

   • "In order to build trust, they open source their product." (评论15)
   • "Open Source was always open to 'many eyes' in theory exposing itself to zero-day vulnerabilities." (评论12)

反对开源的观点

1. 开源难以商业化：开源项目难以盈利，且容易被复制或滥用。

   • "The real reason is probably that it's hard to make a viable business out of developing open source." (评论1)
   • "Most people would be in a better position to monetize my software than I am... Using AI to obfuscate the origin while appropriating all the key innovations." (评论17)

2. 开源增加安全风险：开源代码暴露给攻击者，可能被AI大规模扫描漏洞。

   • "If your codebase isn't exposed, attackers are constrained by the network and other external restrictions." (评论4)
   • "Closing the repo doesn't really save you, it just switches from white-box to black-box… and that's getting pretty damn good anyway." (评论23)

其他观点

1. AI对开源的冲击：AI生成的漏洞报告或PR增加了管理负担，且可能绕过开源许可。

   • "I noticed the number of LLM generate PR is making it unmanageable." (评论10)
   • "The ability of anyone to ask an LLM agent to rewrite your open source project in another language and thus work around whatever license your project has." (评论22)

2. 安全自动化的重要性：应对AI攻击需要自动化安全测试，而非依赖闭源。

   • "You do not beat automated attackers by turning off the lights; you beat them by running better automation on the inside." (评论29)

3. 开源生态的商业化问题：企业主导的开源可能导致社区边缘化。

   • "Private entities with a commercial interest, have been flexing their muscles... Microsoft with Github is probably the most famous example." (评论25)

争议焦点

• 安全与商业化的平衡：开源是否真的更安全？闭源是否能有效保护商业利益？
• AI的双刃剑效应：AI既加速漏洞发现，也增加攻击风险，同时可能破坏开源协作。