馬斯克宣布X平台「無例外」完全開源程式碼

7月15日承諾的三大條件

馬斯克這次的宣布附帶了三個明確條件：

1. 安全審查優先：整個程式碼庫將在X完成內部安全漏洞審查之後才會釋出，但目前並未給出審查完成的具體時間表。
2. 全有或全無：此次開源將涵蓋X平台的整個程式碼庫，包含所有運行在X伺服器上的程式，不僅限於推薦演算法，且完全沒有任何例外。
3. 獨立驗證：X將邀請獨立的第三方審查員，檢查實際的生產系統（production system），以證明公開的程式碼與X平台真實運行的程式碼別無二致，徹底杜絕「表面透明」的質疑。

值得注意的是，此次宣布並未說明發布日期、程式碼庫名稱（repository）、軟體授權（software license），也未明確定義「完整程式碼庫」的技術範圍。

與2026年1月承諾的對比：從演算法到整個平台

2026年1月的承諾

早在2026年1月，馬斯克便承諾將在7天內開源X平台的全新推薦演算法（由Grok驅動的「為你推薦」動態消息），並且每四周更新一次，同時附上詳細的開發者筆記。

當時的承諾範圍有限，僅針對決定用戶能看到哪些自然貼文與廣告貼文的程式碼，本質上就是動態消息的排序引擎。

X平台在2026年1月20日部分實現了這項承諾：xAI在GitHub上以Apache 2.0授權發布了由Grok驅動的推薦演算法，並持續每四周進行更新。

7月承諾的「史詩級升級」

7月的宣布可謂一場戲劇性的升級。馬斯克現在承諾的不是僅僅推薦演算法，而是完整的X平台程式碼庫，無任何例外，還加上第三方驗證機制，確保公開碼與生產環境一致。這遠超1月的承諾，而1月的承諾在當時已被視為社群媒體平台前所未有的透明度舉動。

透明化與安全性的雙面刃

透明化帶來的益處

如果馬斯克確實履行承諾，這將是任何主流社群媒體平台史上最激進的透明度行動。外部的研究人員、記者及監管機構將能完整審視X平台的運作方式——從內容審核系統、廣告投放邏輯，到基礎架構配置與資料處理實務。而第三方驗證機制的設計，更是為了回應業界對開源碼與實際部署版本不一致的常見批評。

全面暴露的巨大安全風險

然而，將整個生產環境的程式碼庫公諸於世，也伴隨著嚴重的資安風險：

• 攻擊面大幅擴展：公開驗證邏輯、內部API端點、基礎架構配置與資料流模式，無疑給了駭客一份詳細的系統弱點地圖。
• 無法挽回的揭露：一旦公開程式碼後才發現漏洞，根本無法低調修補——因為程式碼早已完全攤在陽光下，讓攻擊者有充分的時間進行研究。
• 驗證複雜度：即使有第三方審查員，要驗證公開碼與X規模的龐大生產系統在所有服務上都完全一致，其複雜度難以想像。
• 供應鏈風險：2026年《開源軟體現況報告》已將漏洞管理視為組織的核心弱點。將如此龐大的專有程式庫暴露在開源生態系中，無疑引入了新的供應鏈攻擊向量。

2026年開源軟體安全的嚴峻背景

2026年，開源軟體的安全環境正在迅速惡化。由AI驅動的漏洞發現能力正在以前所未有的速度增長：

• 可歸因於AI生成程式碼的CVE（通用漏洞披露）數量，從2026年1月的6個急遽增加到3月的35個，短短兩個月內暴漲近六倍。
• 有分析估計，在公開的開源程式庫中，由AI程式碼工具引入的實際可被利用的漏洞數量，可能是已確認數字的五到十倍，這意味著在可觀察的程式庫中就可能存在400到700個案例，而私有的企業程式碼庫還不在計算範圍內。

開放原始碼安全基金會（OpenSSF）的技術長克里斯多福·羅賓森（Christopher Robinson）已明確警告，一場由AI驅動、針對開源基礎設施的重大網路攻擊幾乎是「必然發生」的，而非「可能發生」。他點出了加速發展的AI能力、攻擊者龐大的經濟誘因以及資源有限的維護者，共同造就了這個危險的局面。

此外，2025年12月的一項研究發現，在開源程式庫中，AI生成的程式碼在45%的開發任務中引入了安全漏洞，而AI輔助的拉取請求（pull requests）產生的安全問題數量，是人類撰寫程式碼的2.74倍。

考慮到xAI對Grok驅動工具的巨額投資，X平台的程式碼庫本身若包含AI生成或未經充分審查的程式碼，其中可能潛藏著尚未被發現的漏洞，一旦開源就會立刻成為攻擊目標。

安全專家對公開生程式碼的普遍擔憂

雖然在此次研究資料中，並未直接引述特定安全專家對X平台7月15日公告的評論（該新聞發布時僅數小時），但業界對於公開大型生產程式碼庫的普遍擔憂已有充分記錄：

• 來自ExtraHop的2022年警告：當馬斯克在2022年收購Twitter時首次提出開源演算法的想法，網路安全公司ExtraHop的高級銷售工程師傑米·莫爾（Jamie Moles）便警告，雖然透明化的目標值得讚賞，但開源程式碼「很可能意味著它將被其他社交平台、廣告商以及那些希望磨練其工具和工程師以更了解平台的人所採用」——而對好人開放的透明度，同樣也對壞人開放。
• 攻擊面擴張：多位專家指出，對合法的安全研究人員和記者開放的透明度，意味著對惡意行為者開放了相同的透明度。
• 驗證鴻溝：即使有第三方審查，要驗證公開碼與X平台規模的生產系統在所有服務上完全一致，其難度依然極高。
• 不可逆的揭露：在發布後才發現的漏洞無法低調修補——因為程式碼已經完全公開。

結論：前所未有的承諾，但考驗才剛開始

馬斯克在2026年7月15日的宣布，無疑代表了主流社群媒體平台一項前所未有的透明度承諾——遠遠超越了2026年1月的演算法發布，承諾公開完整的程式碼庫並提供第三方驗證。

然而，此次宣布並未提供安全審查或發布的明確時間表，也未說明程式碼庫的名稱、軟體授權或「完整程式碼庫」的技術定義。X平台是否能真正履行承諾？在快速惡化的開源安全環境下，潛在的透明度提升是否真能超越重大的安全風險？一切仍是未知數。但可以確定的是，這項宣布落在了一個關鍵時刻：AI驅動的漏洞發現正在加速，開源基礎設施正面臨史上最大的安全威脅，而每個程式庫的平均漏洞數量也已翻倍成長。