開源

開源對 AI 工具有什麼意義？

開源軟體在允許檢視、修改與（通常）再散布的授權下公開原始碼。對 AI 工具而言，你可以讀懂 prompt、日誌與憑證如何被處理，依自家技術棧客製，並在不必等待供應商雲端區域的情況下自行部署。

開源不等於免費午餐，也不等於私有化部署。Apache 授權的專案仍可能把你推向付費託管控制面。專有 appliance 也可能用授權金鑰私有化部署。請讀授權檔與預設遙測路徑，別只看行銷上的「open」。

AI 團隊為何在意

可稽核。 工程師能看見觸及客戶對話的程式碼 — 在醫療、金融、法律領域尤其重要。

可客製。 封閉產品限制修補。開源工具讓你依自己的節奏改驗證、保留策略、模型路由與整合。

沒有單一供應商 kill switch。 專有 API 會下架。你可以釘住 git tag、fork，或繼續跑舊版 release。

社群速度。 活躍專案往往比封閉路線圖公開承認的更快拿到安全修補與適配器（LangChain、Kubernetes chart）。

你會真正遇到的授權

• MIT — 非常寬鬆。保留版權聲明。商業使用很常見。
• Apache 2.0 — 寬鬆並含明確專利授權。企業友善 AI 基礎設施常見。
• GPL v3 — Copyleft：散布修改後的二進位通常要在 GPL 下公開對應原始碼。
• AGPL v3 — Copyleft 及於許多網路/SaaS 部署。包進內部產品前先做法務審查。
• Source-available / BSL / open core — 可讀程式碼；權利可能不如你想的。法務同意前別當 OSI-open。

如何評估開源 AI 工具

1. 授權與你交付方式（內部、SaaS、on-prem）是否相容。
2. 誰能 merge：公司、基金會，還是沒有備援的單一 maintainer。
3. 發版節奏、簽章制品、安全聯絡窗口。
4. 生產文件：Compose/Helm、備份、升級，以及哪些資料會回傳。
5. 「open」是否包含訓練資料、eval 集、agent runtime，或只是薄客戶端。
6. 雙授權：哪些功能在商業 SKU 後面。

風險

無人維護的 repo 會腐化。AGPL 包進產品化服務可能迫使未預算的原碼公開。「Open weights」不是同一個開源應用。崩潰回報與授權檢查仍可能外洩 trace。沒有 maintainer 計畫的 fork 會變成你的 on-call。

常見問題

在 GitHub 上就是開源嗎？

只有具公認開源授權且你使用的是授權檔案才算。「All rights reserved」不是開源。

商業產品能用 Apache 2.0 程式碼嗎？

通常可以，含閉源產品，只要符合 notice/NOTICE。專利與商標請法務確認。

必須公開我們的修改嗎？

MIT/Apache 2.0 下典型內部或 SaaS 使用通常不必。GPL/AGPL 不同。再散布或提供網路服務前先讀授權。

開源就自動更安全嗎？

不是。可見性在有人閱讀與修補時才有幫助。被遺棄的公開 repo 可能比有安全 SLA 的供應商更糟。

與私有化部署的關係？

開源讓私有化部署成為可能，但不會替你運維叢集。見 Self-Hosted 標籤。