當程式碼不再稀缺，資本真正願意付錢的是什麼？
我在 Community Over Code Asia 2026 keynote 談的，是 AI 時代裡程式碼、開源社群與資本之間正在改變的關係。這是演講的書面改寫版。
AI 正在快速降低寫程式的成本，但沒有同步降低 review、測試、安全與長期維護的成本。美國創投資金並未離開 AI，而是高度集中到少數超大型輪次；對其他團隊而言，證據門檻反而提高。開源社群的價值不只在分發，而在於用公開治理、持續行為與責任升級，生產一種可被客戶與資本共同驗證的信任。Star 只能代表能見度；真正有價值的是生產採用、重複貢獻與淨維護負擔。
上週，我在北京的 Community Over Code Asia 2026 做了一場 keynote。
這是 Apache 軟體基金會的官方全球系列大會。台下坐著許多工程師、開源維護者與社群組織者。我的 keynote 議題是一個看起來不那麼「開源」的問題：
當 AI 讓寫程式的成本快速下降，資本到底還在為什麼付錢？
我在新加坡一支美元基金擔任 EIR。日常工作一半在看商業資料，一半泡在 GitHub、issue、PR 和郵件列表裡。我不只看一個專案有多少 Star，也看維護者如何回覆問題、決策是否公開、貢獻者會不會回來，以及這個社群能不能在創辦人離開後繼續運作。
過去兩年，我在盡職調查裡看到一個反差：
程式碼越便宜，可信的程式碼越貴。
能被驗證的貢獻，也越值錢。
錢沒有離開 AI，但更集中了
根據 PitchBook 與 National Venture Capital Association（NVCA）的 Q2 2026 Venture Monitor，截至今年 6 月 30 日，美國新創公司在上半年募得超過 4,000 億美元，創下歷史新高。
其中，AI 相關交易吸收了約 86% 的投資金額，但只占約 43% 的交易件數。
AI 的交易件數占比沒有明顯增加，真正快速放大的是少數輪次的規模。在報告的分類裡，1 億美元以上的大型輪次占了上半年投資金額的 87.5%。
所以，資本沒有離開 AI。
它只是更集中在少數公司、少數基金，以及少數能提出強證據的團隊手上。
另一個值得注意的數字，是首次募基金的管理人。
2025 年，美國新成立的首次基金為 146 支；2021 年是 460 支，四年減少約 68%。2026 年上半年為 53 支。半年數字不能直接與全年比較，但方向很清楚：對新管理人與早期團隊而言，可取得的資本沒有跟著頭條裡的總金額一起變多。
PitchBook 在 2026 年第一季的報告中指出，2019 年以後成立的北美 VC 基金，中位數 IRR 仍在個位數；過去十年的多數 vintage，中位數 DPI 仍低於 1 倍。至於 2025 vintage，成立時間太短，早期 J curve 與未實現估值會大幅扭曲 IRR，不能拿來判定最終成敗。
但它能說明的只有一件事：LP 會更重視已經可以驗證的證據。
資本要的，是現金，或現金的入口
那麼，流動性仍然緊張的美元資本，為什麼還會進入開源軟體公司？
因為開源不只降低獲客成本。它也能把產品採用、社群治理與技術影響力放在公開環境裡接受驗證。
The State of Commercial Open Source 2025 由 Linux Foundation、Commercial Open Source Startup Alliance（COSSA）與 Serena 共同發布，追蹤超過 800 家獲 VC 支持的商業開源公司。樣本中約 12% 已透過 IPO 或併購退出。
在這份配對資料裡，商業開源公司的 IPO 中位估值為 13 億美元，閉源軟體公司為 1.71 億美元；併購中位估值則是 4.82 億美元，對照組為 3,400 萬美元。
這不能證明「只要開源就一定更值錢」。
它證明的是：開源已經是一條可以被資本辨識、比較與退出的公司路徑。
我把資本化分成兩條路。
第一條，是成為現金。
技術可用，進入正式環境，形成商業轉換，再變成可重複的收入或退出。Confluent、Cloudera、HashiCorp 都走過這條路。資本為收入、留存與組織能力定價。
第二條，是成為現金入口。
技術可用之後，先占住系統裡的必經位置，再提高切換成本，最後由收購方為這個位置定價。Tabular、Neon、Astral 都有這個特徵。
左邊先做收入證明; 右邊先做位置與切換成本。
但兩條路都會碰到同一個問題：這個專案三年後還在不在？方向由誰決定？某一家公司能不能突然改變規則？
Community Over Code：社群不是情懷，是信任機制
Apache 用一句話回答：Community Over Code。
Apache 官方對 The Apache Way 的說明是，一個健康的社群能修正程式碼的問題；不健康的社群，則很難長期維護一套程式碼。
我的理解是：程式碼是可以被替換的資產，社群則是讓程式碼可被驗證、治理與長期負責的機制。
這套機制看起來很慢。
但對資本來說，慢有時代表可預測。
專案方向不只取決於某位創辦人的意志，而是透過公開溝通、共識決策、責任分工與廠商中立來推進。海外工程師不需要認識創辦人，只要閱讀郵件列表、issue、PR 與版本紀錄，就能判斷這個專案是否值得長期採用。
這也是我認為 Apache 治理對亞洲團隊特別重要的原因。
中立治理是一種去國籍化的信任介面。
當決策公開、治理中立，海外客戶盡職調查時看到的首先是機制，而不是團隊來自哪個國家。
退出的是公司，留下的是專案
商業開源公司的退出確實存在，但統計單位是公司，不是開源專案。
Kafka 留在 Apache，圍繞它成立的 Confluent 在 2021 年上市，並於 2026 年被 IBM 以約 110 億美元企業價值收購。
Hadoop 留在 Apache，Cloudera 在 2021 年以約 53 億美元完成私有化。
Iceberg 留在 Apache，圍繞它成立的 Tabular 被 Databricks 收購；公開報導的交易價格超過 10 億美元。
Cassandra 留在 Apache，IBM 在 2025 年完成對 DataStax 的收購，交易價格未公開。
這些案例的共同點，不是「基金會替公司創造估值」。
而是基礎技術不完全被單一公司控制，企業產品、客戶關係與營運能力則由公司承接。
社群生產信任。
公司把信任變成可付費的產品與服務。
AI 放大了程式碼供給，沒有同步放大驗證能力
AI 讓候選實作的生成成本下降，但證明一段程式碼值得合併、部署與長期維護，仍然需要人與組織。
程式碼、issue、PR 都在增加，低脈絡的噪音也在增加。
另一邊，review、測試、安全、授權、相容性與回歸問題，都需要有人承擔責任。架構判斷尤其依賴長期脈絡，不能只靠一次生成完成。
瓶頸正在從「寫出程式碼」，移到「證明它值得被維護」。
curl 在 2026 年 1 月底終止 bug bounty，是一個很好的例子。
這個計畫曾確認 87 個漏洞，發出超過 10 萬美元獎金。curl 終止的是 bug bounty，不是開源專案本身。維護者 Daniel Stenberg 說得很直接：他們希望降低大量低品質安全回報帶來的負擔。他的原文在這裡。
當驗證能力變稀缺，錯的激勵會先製造噪音。
Star 只能開門，行為才能自證
驗證能力不足的另一個後果，是訊號污染。
一篇由 Carnegie Mellon University、Socket 與 North Carolina State University 研究者共同完成、並獲 ICSE 2026 收錄的 StarScout 研究，分析 GitHub 2019 年 7 月到 2024 年 12 月的活動，辨識出約 600 萬顆疑似假 Star，涉及 18,617 個 repositories。
請注意，是「疑似」。這個工具辨識的是異常行為，不等於對每一個帳號或專案做出詐欺定論。
但這已經足以提醒投資人：Star 是能見度指標，不是採用或品質的替代品。
真正的興趣會留下行為。
有人 fork 回去改程式、clone 下來執行、提出 issue、送出 PR、被下游專案匯入，或在 90 天後回來繼續貢獻。
一次性的熱度可以購買。
持續承擔責任，很難偽造。
我在 VC 盡職調查裡看四組指標
評估 AI 參與開源的淨價值，不能只算產出，也要算維護者的審查成本與貢獻者留存。我通常按月追蹤四組指標。
一、有效合併與審查工時。
用合併 PR 數對照維護者投入的 review 時數，回答「新貢獻有沒有真的降低維護負擔」。
二、首次回覆與完整 review 週期。
看提交到首次回覆、以及提交到合併的中位時間，回答「社群是否有能力接住貢獻」。
三、90 天重複貢獻率。
看首次合併後 90 天內再次貢獻的人數占比，回答「貢獻者有沒有留下來」。
四、回滾、缺陷與安全事件。
追蹤合併後 90 天內的 revert、缺陷與 CVE 關聯，回答「品質能不能被託付」。
資本在追蹤時，也試圖把 AI 輔助與非 AI 輔助的貢獻識別並分開。混在一起的總數，無法回答 AI 到底增加了價值，還是把更多工作轉移給 reviewer。
OSS Investment Scorecard：把判斷拆成證據
我把這些判斷整理成一套公開工具：OSS Investment Scorecard。
目前公開版本是 V1.3，採 MIT License。它把評估拆成五個面向：
開源生態健康 25%
團隊與全球化 20%
技術護城河與定位 20%
商業化與 PMF 20%
資本退出路徑 15%
這套方法最重要的不是總分，而是試圖建立一條判斷規則：
不知道，就標記不知道。不要用推論冒充事實。
現在已有外部開發者把它用在自己的專案上，並把評估結果公開提交回 repository。對我來說，外部驗證不是別人展示我的分數，而是有人願意使用、質疑與修改這套方法。
SourceDance：讓真實學生進入真實開源專案
最後是 SourceDance。這是我正在做的一個新社群，也是一場人才機制實驗：把學生、導師與真實的開源專案放在一起，讓一次貢獻逐步變成可以被託付的責任。
整條路徑分成四步：
結構化任務：有明確驗收標準，由 bot 追蹤進度
第一次合併：看 PR 合併率與 review 輪次
90 天重複：看重複貢獻率與維護者淨工時
承擔責任：看 contributor 是否成為 reviewer，最後走向 maintainer
截至這次演講當天，SourceDance 內部紀錄為：211 個由 GitHub Issue 自動化驅動的已完成任務、超過 300 位註冊學生開發者，以及 10 個進駐的開源專案，其中包括與中國科學院軟體研究所合作的專案。
規模還小。如果你有興趣了解或參與，歡迎到 SourceDance 看看，也歡迎提供建議和想法。
AI 沒有讓稀缺性消失，只是讓它換了位置。
從「寫得出來」，移到「值不值得相信」。
從「提交過」，移到「能不能被驗證」。
資本正在為可定價的信任找證據。社群則透過公開治理、持續貢獻與責任升級，生產這種信任。
Keynote slide deck
我會把這場 keynote 的完整簡報放在這篇文章中，讓演講裡的資料圖表、案例與框架可以和文字一起閱讀。