过去一年，生成式 AI 对开源项目治理的冲击已从争论进入规则层面。NetBSD 早已把未经核心团队事先书面批准的 AI 生成代码视为污染代码库的贡献，这一立场在近期讨论中被进一步放大，r/linux 上这则质问 NetBSD 是否自毁的帖子正是由此引发。

帖子的论点

• 发帖者认为，拒绝 AI 并不能让项目自动更安全：缺陷密度取决于代码规模与历史包袱，而不是贡献者使用什么工具。
• 他援引同一周 OpenAI 报告在 Linux 中发现接近一千个本地提权问题这一案例，主张 NetBSD 同样积累了大量长期存在的代码，按相同方法审计很可能得到数量级相近的结果。
• 讨论隐含的担忧是，在志愿维护者本就稀缺的情况下，把准入姿态收得过紧会进一步压缩贡献来源。

对企业 IT 的意义在于治理方法而非结论。这则讨论提供的价值判断是：把 AI 生成代码直接等同于质量或安全风险，推理链条并不成立；真正起作用的是评审流程、测试覆盖与漏洞响应机制。团队制定内部政策时，应把重点放在可验证的工程约束上——要求贡献来源与许可可追溯，对 AI 辅助改动做额外审查与测试，而不是简单照搬某个上游项目的立场。NetBSD 能否因此保持活力仍需时间检验，但其规则本身已成为开源准入讨论中的参照样本。

来源：Reddit r/linux，讨论出处。