開源虛擬化大佬QEMU「轉軚」：AI生成代碼有得傾，但核心部分冇情講

新建議：風險行先嘅分級制

新建議並唔係話從此打開中門，俾所有AI生成代碼自出自入。相反，佢係一個按照貢獻嘅風險同影響力嚟分級嘅制度。

• 容許使用嘅情況： AI輔助可以用喺「版權違規嘅後果至少係容易撤回而且唔會擴散」嘅工作上面 。呢啲包括小型程式錯誤修正（bug fixes）同文檔更新，因為就算真係出現法律問題，影響範圍都好有限，而且可以輕易回滾（rollback）。至於一啲雞毛蒜皮嘅用法，例如IDE自動幫你補全一個變數名，就被認為風險太低，甚至可能唔需要正式申報 。
• 仍然受限嘅情況： 對於QEMU嘅核心代碼（core code），限制仍然非常嚴格。喺呢啲高風險領域，「未經維護者事先同意」，使用AI係完全唔容許嘅 。呢個安全護欄確保咗最關鍵、最基礎嘅程式碼，繼續有清楚、可以俾人類審計嘅來源。

透明新時代：強制申報嘅「AI-used-for」標籤

成個新建議嘅基石，係一個全新嘅強制申報機制。Bonzini建議喺任何AI扮演咗重要角色嘅修補檔入面，加入一個 「AI-used-for」嘅提交標籤（commit trailer） 。呢個標籤有雙重作用：一來，佢可以透明咁記錄低AI工具嘅參與，等審閱者同維護者都睇到；二來，佢「同時可以檢查返作者喺提交之前係咪有睇過個政策」。呢個做法同一個簡單嘅「Assisted-by」標籤唔同，佢將責任放返喺貢獻者身上，要佢哋主動確認自己使用AI嘅方式係符合項目規定嘅。有一點好重要：就算用咗AI，貢獻者都唔會獲得豁免，一樣要符合所有其他標準要求，包括至關重要嘅DCO認證 。

對開源界未來嘅啟示

QEMU嘅政策辯論，係目前成個開源界最受關注嘅議題之一。圍繞AI生成代碼嘅法律問題——邊個擁有版權、可以用咩許可證貢獻、能唔能夠滿足DCO嘅要求——法庭至今都仲未有好清晰嘅答案 。喺呢個法律真空期，每個項目都要制定自己嘅風險管理框架。

QEMU而家諗緊嘅呢套做法，可能係一條好多大型項目會跟住行嘅中間路。比起死守一個越嚟越唔現實嘅全面禁令，或者乜嘢安全措施都唔做就急急腳接受晒所有AI代碼，呢個模式更傾向一個以風險評估為本、申報行先嘅框架。事實上，其他重要項目例如FreeBSD都喺度面對緊一模一樣嘅難題，坊間甚至已經有人發起行動，去追蹤嗰啲被「LLM污染」嘅開源代碼 。QEMU今次試水溫，喺樣板代碼同文檔等低風險領域容許AI幫手，同時對核心邏輯保持嚴格嘅人類審查，正正係測試緊一套可以平衡AI生產力紅利，同埋關鍵基礎設施軟件嘅法律、安全底層需求嘅方案 。