开源软件正在被渗透，渗透开源不是渗透开源被黑客，而是渗透开源被资本。这事得从Redis换许可证说起。渗透开源2024年，渗透开源这个全球最流行的渗透开源内存数据库突然宣布从BSD协议转向双许可证，表面理由是渗透开源防止云厂商白嫖，实际上是渗透开源把开源当成了谈判筹码。类似的渗透开源故事在Elastic、MongoDB身上反复上演——它们都曾经是渗透开源开源社区的精神图腾，现在都变成了商业公司的渗透开源私有资产。

我见过最讽刺的渗透开源场景是某次技术大会上，一个开源项目的渗透开源核心维护者站在台上说“我们永远保持开源精神”，台下坐着的渗透开源是投资机构的分析师，正在用手机计算这个项目的渗透开源商业估值。这不是道德问题，是生存问题。维护者要吃饭，要付房租，要养团队，而代码一旦开源，任何人都能拿去卖钱，唯独写代码的人赚不到钱——除非他们学会“渗透”自己的项目。

所谓渗透，就是故意在开源版本里留一手。API接口不完整，关键模块闭源，或者像HashiCorp那样把Terraform的核心功能从开源版里剥离。这种做法在业内有个难听的名字，叫“开放核心”，说白了就是给你看个骨架，肉得花钱买。我认识一个独立开发者，他维护着一个每周下载量过万的小工具，去年突然加了付费功能。他跟我解释：“再不这样，我连服务器费用都付不起了。”这话听着心酸，但这就是现实。

更隐蔽的渗透发生在社区层面。大公司开始派员工全职参与开源项目，表面上是贡献代码，实际上是把项目往自己有利的方向引导。Linux基金会里那些企业会员，哪个不是带着KPI来的？他们捐钱、捐人力，换的是对技术路线的话语权。你去看某个热门框架的commit记录，会发现最近两年新增的代码里，有三分之一来自同一家云厂商的工程师——他们提交的每个PR都在优化自家云服务的集成体验。

这种渗透也不全是坏事。没有商业公司的资金支持，很多项目根本活不到今天。Kubernetes就是Google养大的孩子，现在成了整个云原生时代的基石。但问题在于，当开源项目的决策权越来越集中在少数大公司手里，最初那种“由社区驱动、为社区服务”的理想主义就变味了。小开发者的声音被淹没，独立维护者被迫站队，而那些真正改变世界的创新，往往诞生于没人盯着的小项目里——只是它们大概率活不到被资本看中的那天。

开源的本质是信任，而现在这种信任正在被结构性消耗。我有个朋友，以前逢人就推荐开源软件，现在他做技术选型时第一件事是看许可证的“传染性”，第二件事是查背后的公司是谁。他说：“我怕了，我不想再当免费测试员，最后连数据都被别人拿去训练模型。”这话有点偏激，但道出了很多人的隐忧。

渗透还在继续，而且越来越难分辨谁是朋友谁是猎人。唯一能确定的是，那个“代码自由共享”的乌托邦已经不存在了。剩下的问题不是要不要商业化，而是如何在商业侵蚀下保留一点真正开放的缝隙。哪怕那条缝隙窄得只够一只蚂蚁爬过去，对某些人来说，那也是光进来的地方。