Vibe Coding正在杀死开源软件，让软件供应链风险悄然升级

什么是Vibe Coding？

如果要为2025年的开发者圈选一个年度热词，“Vibe Coding”（氛围编码）肯定名列前茅。这可不是什么玄乎的概念，它精准地描述了一种正在席卷整个行业的真实工作流：开发者不再事无巨细地敲下每一行代码，而是转向用自然语言向AI助手“描述”需求——选什么库、实现什么功能、如何集成，通通交给AI来决定。

整个过程，开发者更像是在把握方向和氛围，至于AI最终具体调用了哪些依赖、写了什么实现，很多时候反而成了一笔“糊涂账”。这种“重氛围、轻细节”的范式转变，普及速度惊人。

数据不会说谎：到2024年10月，谷歌内部的新代码已有超过四分之一由AI生成并被工程师采纳；2025年的一项研究发现，美国GitHub贡献者编写的Python函数中，差不多有29%到30%出自AI之手；而Stack Overflow同年的调查更显示，超过80%的专业开发者已经在使用或计划使用AI工具，其中超过一半的人每天都会用到它。

效率提升是实实在在的，但硬币的另一面，麻烦也开始悄然浮现。

开源生态的“需求转移”危机

要理解这个麻烦，得先看看传统开源世界是怎么运转的。过去，一个健康的开源项目依赖一个至关重要的“参与循环”：开发者使用包、查阅文档、遇到问题、到社区提问交流，甚至可能最终提交一个修复补丁。这个过程可不只是解决了技术问题，它还为项目维护者带来了宝贵的可见度和潜在回报——无论是声誉积累，还是由此衍生出的咨询或商业合作机会。

然而，Vibe Coding的出现，用AI作为中介，近乎彻底地切断了这个循环。

结果就是，一个诡异的局面正在形成：开源项目的实际使用量和下载量仍在攀升，但围绕项目产生的人类互动——那些提问、讨论和贡献——却在急剧萎缩。

用Empromptu联合创始人Shanea Leven的话来说，“开源软件的消费量其实在增加，但围绕项目的互动指标却在下降。开发者依然重度依赖这些项目，只是所有路径都被AI中介了。”

看看Tailwind CSS这个例子就明白了。作为一款热门的CSS框架，它的npm下载量在2025年依然保持着增长势头。但与此同时，Stack Overflow上标记了“tailwind-css”的问题数量却在下降。更让项目作者Adam Wathan忧心的是，他在2026年1月透露，项目文档的访问流量比2024年初下降了大约40%，而相关的收入更是暴跌了近80%。

他在GitHub上写下的那句话，道出了很多维护者的无奈：“让Tailwind变得更易用，和让这个框架的开发工作可持续下去，目前看来似乎没什么相关性。”

这种趋势并非个例。2024年发表在PNAS Nexus上的一项研究已经指出，ChatGPT的出现，直接导致了Stack Overflow的活跃度在大约六个月内因果性地下降了25%。

开源维护债务正在积累，供应链风险同步升级

开源软件早已是现代商业软件不可动摇的基石。根据Black Duck 2026年的《开源安全与风险分析报告》，高达98%的商业代码库都包含开源组件，平均每个应用程序依赖的开源包数量超过了1100个。可以说，如果没有开源，企业软件开发的成本将激增3.5倍。

但现在，AI的普及正在让这块基石变得脆弱。

一些经济模型的预测结果指向了一个不太乐观的未来：在传统的开源商业模式下，Vibe Coding的大规模采用，长远看会导致开源软件供给的减少和整体社会福利的下降，尽管短时间内软件的产出量确实在增加。模型推算，当Vibe Coding的采用率达到70%时，一个典型开源项目从每位用户那里获得的货币化收入将骤降70%，而AI带来的生产力提升，大概只能抵消掉约12%的开发成本。

现实情况可能更糟：

Black Duck的报告显示，93%的被调查应用程序中，包含着已经两年没有新开发活动的“休眠”开源组件。Sonatype的另一份报告则指出，在2024年还在积极维护的Ja va和Ja vaScript开源项目中，有近20%如今已无人看管。

这些不断累积的“维护债务”，直接转化为了实实在在的安全风险。历史案例历历在目：2024年爆发的Apache Log4j漏洞，即使在披露两年后，仍有超过40%的被下载版本存在安全风险；同年初的XZ Utils后门事件，攻击者更是花费了两年时间与项目的唯一维护者建立信任，最终成功植入恶意代码。

供应链攻击已经不再遥远。Black Duck的调查显示，过去一年中，有65%的组织遭遇过这类攻击。

Vibe Coding带来的风险则更为隐蔽：它并非直接植入恶意代码，而是通过抽空维护者的收入和反馈，让大量中坚和新兴开源项目逐渐陷入无人维护的境地。这使得安全漏洞更容易长期潜伏，而且相比起那些已被明确攻破的软件包，这种“静默腐朽”的状态反而更难被检测和预警。

开源生态和企业该如何应对？

面对这样的变局，行业共识是，单纯依赖过去的捐赠或自愿维护模式已经难以为继。开源项目必须积极探索新的可持续路径，例如：

更多地向企业级付费支持、SaaS服务或许可证模式转型，开拓与使用量无关的收入来源；
项目维护者需要主动适应AI工具，提供更优质、结构化的文档和API，以便AI能够更准确地理解和推荐自己的项目；
而对于企业用户而言，不能再做“隐形的消费者”，必须主动监控关键依赖项的维护状态，积极参与社区，或者直接为那些支撑自身业务的关键开源项目提供资金支持。

Red Hat和SUSE的社区架构专家们也指出，虽然AI能帮助过滤掉大量琐碎的bug报告，但在发现新项目、理解复杂的依赖限制等关键环节，人类开发者主动查阅文档、参与社区讨论，仍然是不可或缺的。

结语

毫无疑问，Vibe Coding带来了前所未有的开发效率提升，但它就像一柄双刃剑，正在悄无声息地侵蚀开源生态赖以生存的根基。当开源项目的维护者越来越难以坚持下去时，软件供应链的安全风险将从概率性的“偶发事件”，演变为一场“系统性威胁”。

无论是软件开发者、企业架构师还是安全从业者，我们都无法只沉浸在AI带来的生产力红利中，而忽视其对整个开源世界造成的长期冲击。主动关注关键依赖、以实际方式支持维护者、共同探索和推动可持续的开源商业模式，或许才是应对这场隐形危机的真正出路。