开发者分享了其开源项目 MatrixMedia 的一段特殊经历。该项目是一款基于 Electron 开发的多平台视频/图文矩阵发布工具，开源仅两个月便获得 949 个 star。上周，项目收到编号为 #27 的 PR，提交者 anupamme 修复了依赖库 proxy-addr 的 CVE-2026-90711 漏洞。这份 PR 描述规范、commit message 标准、分支命名整齐，几乎挑不出毛病。然而点进提交者主页后才发现，这是一台自动化安全扫描机器人。作者表示，做开源多年，收到过人类提交的 typo 修复、功能贡献甚至 issue 抱怨，但第一次收到机器人提交的可合并 PR。本地拉取分支、跑通测试并完成回归验证后，作者合并了该 PR。合并之后作者开始担忧：随着 Copilot Workspace、Cursor、Claude Code、Devin 等工具普及，AI 提交 PR 的门槛已趋近于零，此类事件只会越来越多，若无规则约束，issue 区将被低质量的「AI 味 PR」淹没。为此，作者编写了 AGENTS.md 规范文件，并开设长期 issue #35「全民找茬」，核心原则是人和 AI 适用同一套 PR 规则，不搞特殊待遇，以此应对 AI 参与开源协作的新常态。
事件分析
这一事件折射出开源社区治理面临的新课题。AGENTS.md 作为近年开始流行的约定文件，正逐步成为项目向 AI Agent 声明协作规则的通用载体，本次实践可视为维护者主动治理 AI 贡献的早期样本。从技术层面看，安全扫描机器人提交依赖漏洞修复属于低风险、高价值的贡献类型，合并决策仍由人类完成，形成了「机器提交、人类审核」的闭环。真正的挑战在于审核成本：当 AI 生成的 PR 数量指数级增长，维护者的代码审查带宽将成为开源生态的新瓶颈。此外，「人与 AI 同一套规则」的思路回避了 AI 身份披露、责任归属等争议，具备较强的可操作性。后续值得关注的是，GitHub、GitLab 等平台是否会推出原生的 AI 贡献标记与审计机制，以及头部开源项目是否会跟进制定专门的 AI 贡献政策，推动行业形成事实标准。
核心观点：当 AI 提 PR 的成本趋近于零，人类维护者的审查带宽才是开源生态真正的稀缺资源。
原文链接：V2EX 分享发现
