CNCF 2026 AI 项目观察中的治理缺口

我第一次读到 CNCF 的这组 AI 项目观察时，最值得注意的不是“大家已经在用 AI”，而是使用习惯和正式规则之间出现了明显落差：个人已经把 AI 用在代码编写、文档整理、调试和 PR 分析上，但项目仓库未必说明能不能用、怎么披露、谁负责复核。

官方入口：https://www.cncf.io/

先分清“有人在用”与“项目允许怎样用”

CNCF TAG Developer Experience 的首轮数据来自 133 名回答者，涉及接近 100 个项目。AI 的使用场景已经很具体：有人用它理解陌生代码库，有人辅助写代码和重构，也有人用它整理文档、调试和分析 Pull Request。问题在于，这些行为大多发生在个人工作流里，项目层面的规则没有同步形成。

调查给出的信号是：约三分之二的受访者不知道主项目存在具体 AI 指南，或者明确表示仓库里没有正式政策；绝大多数项目的公开文档和贡献指南也没有说明 AI 使用。这个结果不能解读为“项目反对 AI”，更准确的说法是，很多项目还没有把新工作方式翻译成大家都能遵守的协作约定。

把治理缺口改写成调用方能理解的项目接口

我更愿意把项目规则看成一组接口，而不是一篇孤立的政策文章。贡献者需要知道提交前要说明什么，维护者需要知道哪些变化必须提高审查强度，审查者需要知道安全和许可证问题由谁接手。接口定义清楚，AI 是否参与就不再是靠猜的隐含条件。

这也解释了为什么“AI 生成的代码照常走普通 Review”并不等于治理已经完成。普通 Review 解决的是代码能不能合并，披露和许可证记录解决的是审查者是否知道该提高警惕、项目以后能不能解释这次决策。两者是叠加关系，不是二选一。

72 个项目的治理复盘给出了更具体的缺口

CNCF 技术监督委员会在 2026 年 8 月公布的治理指导，复盘了 72 个 graduated、incubating 和 archived 项目。一个很有操作价值的发现是：进入 Sandbox 时就拥有多个组织的维护者，后续毕业率为 59.1%，单一组织项目为 28.6%，前者约为后者的 2.07 倍。这个数字不能直接证明“组织越多就一定成功”，但它提醒项目尽早设计参与结构，不要等到冲突出现才补制度。

复盘中反复出现的具体问题包括：决策过程没有文档、长期不活跃的维护者仍留在名单里、组织平衡没有结构性机制，以及安全响应没有明确负责人和披露流程。对 AI 项目来说，这些旧的治理问题会被更快放大，因为贡献速度提高后，审查、溯源和责任边界也会同时变重。

按项目阶段落地，而不是一次性写大而全的政策

个人项目或刚建立的仓库，可以先把三件事写进贡献指南：AI 辅助是否允许、贡献者需要披露到什么粒度、所有提交仍由人负责验证。这样做的目标是消除默认猜测，而不是追踪每一次输入了什么提示词。

进入孵化阶段后，要把安全响应、许可证检查和维护者增补流程分开写清楚，并让 PR 模板能承载必要的披露信息。成熟项目则需要把技术决策、路线决策和治理决策区分开，保留公开讨论与最终结论；维护者长期不活跃时，要有 emeritus 或移除机制，名单才能反映真实的决策群体。

我的判断是，AI 项目的治理重点不是强行禁止工具，而是让“工具参与过”这件事在需要时可见、可解释、可复查。对于贡献者，这是更清楚的提交边界；对于维护者，这是更可控的审查成本；对于社区，则是避免项目规则落后于实际协作方式。

常见问题

CNCF 的调查是否说明所有项目都缺少 AI 政策？

不是。文章是首轮观察，样本覆盖近 100 个项目；它说明缺口普遍存在，但也提到少数项目已经建立清晰政策，不能把比例概括成所有项目的结论。

为什么普通代码 Review 还不够？

Review 可以发现功能和质量问题，但不自动回答是否需要披露、许可证如何复核、疑似安全问题由谁接手，以及以后怎样解释一次治理决定。

小项目需要一开始就建立完整委员会吗？

不需要。小项目可以先固定维护者名单、决策记录、安全报告入口和贡献披露规则；随着参与者和风险增加，再引入更细的投票、组织平衡和维护者生命周期机制。

参考来源

CNCF《The state of AI in CNCF projects: A first look at the data》：https://www.cncf.io/blog/2026/04/29/the-state-of-ai-in-cncf-projects-a-first-look-at-the-data/

CNCF《Governance guidance for CNCF projects》：https://www.cncf.io/blog/2026/08/26/governance-guidance-for-cncf-projects-choosing-the-right-structure-for-your-projects-size-and-stage/

CNCF《Cloud native agentic standards》：https://www.cncf.io/blog/2026/03/23/cloud-native-agentic-standards/