红芯造假的反思：不要“站在巨人的肩膀上”蹬鼻子上脸

红芯造假：穿上创新的“马甲”危害更大

——红芯国产浏览器事件引发的反思（上）

本报记者张佳星

近期，红芯事件引发了计算机界的激辩。

8月15日，红芯国产浏览器被曝并非自主创新，网传视频解压其底层代码显示大量文件照搬谷歌浏览器旧版。事件发生后，红芯方面包括创始人陈本峰始终表示，有创新，并未抄袭。

记者在国家知识产权局网站专利检索中，输入红芯创始人“陈本峰”，勾选“发明专利”一栏，可以检索到16个与浏览器相关的专利授权。

近日，又有网友盘点了国产“爱抄”的开源软件，并对开源代码利用也提出了质疑。

那么，有创新，是否就表明是自主创新？红芯的创新又能否保证安全可控？究竟如何才能摆脱我国软件业受制于人的现状？带着这些疑问，9月11日，科技日报记者采访了信息系统工程专家、中国工程院院士沈昌祥等业内专家。

只是开源代码的“搬运工”

“创新程度有大小。”沈昌祥解释，“如果原来没有，现在有了，我们称为原始创新；如果在核心技术上没有突破，只是让技术更全面、更好用一些，我们称为科技进步。”

红芯浏览器的创新并非从无到有，而是基于谷歌旧版本的内核进行的再开发，使用代码为开源代码。

“利用开源代码进行创新性工作是贯穿于整个软件业发展的，我们应该尊重这个规律，完全从头自己搞一套的是‘傻瓜’。”沈昌祥说，无论IBM还是微软都利用开源代码进行创新。

但是，“某种意义上说，开源又是极不安全的。”沈昌祥说，因为它有“麻痹性”，以为源代码全部公开就透明了，就完全掌握了，事实却是，一个系统的代码有几千万行，想要真正掌握，必须花费大量的人力、物力、时间去分析，工作量堪比重新开发。

“如果红芯真的对代码进行了全面掌握和理解，应该会对代码进行大量修订工作。”一位来自公安部系统的专家表示，角度、任务、场景、需求等不同，代码必定不同。此外，红芯使用谷歌老旧版本，既未能自主演进，又无法跟从新版本进化，也表明红芯并未“吃透”源代码，而仅仅是开源代码的“搬运工”。

“真正的自主创新一般是在对代码吃准摸透的基础上，通过创新产生了另一个演进方向。”上述专家表示，例如谷歌浏览器内核其实是在苹果浏览器内核WebKit开源代码的基础上演进的，最终衍生出自己的Blink内核，包含大量创新，可自行掌控，才能称得上自主创新。反之，如果闭着眼拿为己用，又声称“可控”，等同于帮助大量漏洞“伪装潜入”，动摇安全根基。

自己动手就自主可控？

“现在自主可控满天飞，认为自己动手了就自主可控，这样的认识不全面。”沈昌祥说，操作系统、CPU都以代码为根基，很多国际厂商都与中国签订了合作协议，表示已经授权开放给中国了，真是这样吗？

沈昌祥举例道，微软和中国合资成立神州网信之后，2个月就声称推出了安全可控的Win10政府版。“这么短的时间，中方企业难以完成法律要求的对几千万行代码的系统进行底层改进，更别提自主创新。”

沈昌祥2015年曾担任Win10政府系统审查小组成员。他说，审查小组提出3个原则：电子证书系统国产化、应使用中国的商用密码系统、应使用中国的可信计算技术（原可信计算技术下，第三方软件要经过微软的认证才能运行），“由于违背这3个原则，Win10政府系统并未审查通过。推广Win10将直接威胁网络空间国家主权。”

也就是说，这个借壳入市的国外系统依法证明并不可控。针对这一事件，中国工程院院士倪光南也曾表示，Win10未通过审查，会存在被监控、被劫持、被攻击、被禁售、密钥和证书失控、无法加固、无法打补丁、不支持国产CPU等安全风险，应停止采购和使用。然而，去年11月，未通过审查的“Windows10神州网信政府版”已正式进入我国政府采购市场。

面对红芯事件引发的公众对网络安全的关切，倪光南再次提到上述事件并表示，与红芯事件相比，欺骗性更强、对网络安全威胁更大的是那些给不可控、不开源的外国专有软件“穿马甲”的行为。

没有真正的创新，摆脱不了受制于人的窘境

无论是声称自主创新的红芯，还是声称对中国开放了代码的Win10，都无法做到安全可控。这表明没有真正的创新，始终摆脱不了受制于人的窘境，甚至受制程度会有所加剧。

“对合作方开放的全部源代码，要心中有数，不能盲从。”沈昌祥说，保障国家网络安全要做到“五可一有”，可知、可编、可重构、可信、可用、有自主知识产权。自主创新要做到自主编写源代码，对代码中的核心进行重构，并在系统中加入我国自主的可信技术、密码算法等。国产系统可能在效率上，在代码的质量和优化上难以与国外产品一较高下，但安全性更高，也是“自力更生”的底气。

“我国拥有原始创新的可信技术体系，已经应用在增值税防伪、彩票防伪、二代居民身份证安全系统等的安全保障上，目前无一例安全事件发生。”沈昌祥说，中国可信计算源于1992年正式立项研究主动免疫的综合防护系统，经过长期攻关，军民融合，形成了自主创新的可信体系，跨入了可信计算3.0时代。可以方便地通过可信网络支撑平台把现有设备升级为可信计算机系统，而应用系统不用改动，便于新老设备融为一体，构成全系统安全可信。

红芯事件曝出，对相关核查机制的呼唤更加强烈，沈昌祥表示，2017年6月1日，《网络安全法》正式实施，意味着网络空间安全有法可依，法律中明确规定了各职能部门的标准制定工作，以及各地方政府支持相关项目时的鉴定责任。

红芯造假：契约精神的反动

——红芯国产浏览器事件引发的反思（下）

本报记者高博

IT界前一阵最火的新闻，莫过于“红芯”。这个被宣传为“中国原装”的浏览器，被发现是抄袭开源的浏览器Chromium，甚至连内置的文件名和LOGO都懒得修改。事发后，红芯公司辩称并非抄袭，而是“站在巨人的肩膀上去做创新”。

的确，当今软件业建立在开源代码上，“抄”开源代码再正常不过。那么，红芯的抄法是否光明正大？

不注明来源，就是违反契约

“使用开源的代码，要遵循开源组织的协议。”中科院计算所研究员包云岗告诉科技日报记者，“以著名的开源组织阿帕奇的协议为例，一是使用者要将协议留在代码里面，不能删掉；二是修改了代码的话，也需要在被修改的文件中说明，不能‘抹掉几行就全部当成自己的’；三是基于源代码做了扩展，也应该把协议附上去。”

红芯基于的Chromium开源代码遵循BSD协议——你可以自由使用，或二次开发为专有软件，但你的代码中必须要带上原来代码中的BSD协议。BSD协议要求尊重代码作者的著作权。

包云岗说：“红芯最大的问题在于违反了这个契约。尽管并没有针对开源的法律，但全世界几千万程序员一直都按照这个契约来做事，大家自然不赞同红芯的做法。”

事实上，国内使用Chromium源代码的浏览器还有搜狗、360等等，这些浏览器都遵循了开源协议，做出了声明。

“在此次事件中，红芯是否尊重它自以为‘踩在脚下’的Chrome呢？显然，并没有。”知乎用户“宋拓”评论说：“在我们程序员眼里，继承Chrome的应该是Chrome的子类。红芯这个子类继承Chrome的方式并不是声明，而是copy。”

混淆“自主”与“可控”，就有浑水摸鱼的

“从国家关心的安全层面来看，最重要的是‘可控’。‘自主’其实只是实现‘可控’的途径之一而已。”包云岗在一次论坛上说，基于开源软件二次开发，也完全可以达到“可控”，“但是，当前本末倒置，太过刻意追求‘自主’了，造成‘自主’一词已被滥用。”

红芯之所以从“云适配”改称红芯，并打出“自主可控”的广告，被认为是要沾“自主”一词的光。知乎用户“渔人”讽刺说：“没发现（抄袭）就是纯自主，发现了就是巨人助创。”

其背景，包云岗分析说，以前政府在科技项目管理上对开源意义认识并不够，认为基于开源软件修改的就没有技术含量，必须要“完全自主”的软件才有水平。“这是科研评价的指挥棒问题。好在现在已经有改观，最新的重点研发计划开始直接支持开源软件和相关生态。”包云岗说。

倪光南院士也认为：开源软件在满足“自主可控”要求上是有优势的；在国家层面，科技部、工信部和发改委已启动了大量与开源相关的专项和工程。

二次开发也可以是创新，要按规矩来

红芯事件后，倪光南院士对科技日报等媒体发表观点称，不能因为出现红芯事件，就抹杀了中国软件业在开源基础上有大量创新的客观事实，不该由此贬低基于开源做创新的模式。

包云岗说，基于开源搞二次开发是常见的商业模式，开源社区也很认可。比如开发操作系统的红帽（RedHat）公司，其企业版RHEL是其赚钱来源，但红帽公司遵循开源协议，公开代码。和RHEL功能一样的CentOS可免费获取，这也让大家更认可红帽。如今，基于开源为各大企业开发定制版Linux的红帽公司，市值已经超过250亿美元，年收入超25亿美元。

“开源不等于不能赚钱。”包云岗说，“英特尔1990年代成立了开源技术中心。Linux成长起来，得益于英特尔很大投入。而用户拿到免费的Linux系统，发现在英特尔芯片上跑得更好。英特尔就是这样占据了服务器市场。还有谷歌开源了安卓系统，安卓并不收钱，但谷歌在安卓上预装了浏览器、日历、地图等等，带给它可观的流量。”

包云岗说，尽管研发成果开源不直接盈利，但“羊毛可以出在猪身上”，所以各方都很积极。中国企业过去因为实力有限，参与远远不够。现在已有改观，华为为代表的国内大企业已是开源界的重要贡献者。

红芯被曝光，对中国开源文化是好事

倪光南认为，红芯的错误属于“过度包装”，和汉芯的欺骗不是一回事。他认为对红芯的追责应当适度。

倪光南指出，以前很多人对开源认识不够，一些国内公司基于安卓定制的移动操作系统，自称“自主知识产权”，他们犯了和红芯类似的错误，但都没被追究，都被宽恕。

“如果人们对这类错误从一开始就一视同仁地严加追究，恐怕红芯也不会重蹈覆辙了。”倪光南说。

“这个负面事件，会助推开源文化的普及。”包云岗说，“就我所知，有些大学已经准备开设开源文化的课程，让年轻人知道开源是怎么一回事，应该遵循什么规则。”

“‘红芯’之所以成了‘事件’，首先是因为程序员曝光和传播，他们知道技术细节才揭露出来；但新媒体和传统媒体的推动，才让它为全社会关注。”包云岗说，“这件事是一个警示，对从业者是好事。”

科技日报：

不要“站在巨人的肩膀上”蹬鼻子上脸

本报评论员

上午才打着“中国首个自主创新智能浏览器内核”的旗号宣布完成2.5亿元C轮融资，下午即被踢爆低水平抄袭开源浏览器，红芯遭打脸之神速，给这起恶劣造假事件添上了几分娱乐色彩。然而，荒诞至此，却让人笑不出来。

如果把红芯比喻成一个抄袭者，他一定不服气，有人可能也会费解：隐瞒开源事实，似乎与抄袭是两码事。记得著名虚构人物孔乙己有句名言——读书人的事，能算偷吗？鲁迅先生万万想不到，自己在1919年写就的一句戏谑对白，过了近一个世纪居然还能找到应用场景。

全世界有几千万程序员在使用开源代码，大家都遵循开源协议，共同以契约精神来维持行业秩序，尽管并没有相关法律约束。显然，红芯的字典里没有契约精神；就算有，与吹嘘忽悠能带来的巨大收益比起来也微不足道。毕竟在很多人看来，契约精神值几个钱？而如此这般，站在巨人肩膀上搞了点创新，然后在产品宣传时随便找块粗布把巨人遮盖起来以凸显自己，行业里也大有人在。只不过福祸相依，红芯侥幸忽悠到巨额资本，随之树大招风招来了打假。

说起红芯这段侥幸经历，也可谓之奇幻。虽然开源只是行业内部的约定俗成，外行不一定都懂，而且市场上也不乏钱多人傻的金主，但如此粗糙的造假手法，怎能一路过关斩将、堂而皇之地骗到冤大头？如果其中真的没有任何利益输送的话，那就是我们的环境存在大问题，保不齐还会有第二个、第三个红芯站起来。

造假和浮夸是公然无视科学精神，不能辨识造假和浮夸则是科学精神的严重缺失。实际上，科学精神和契约精神就像一对孪生兄弟，潜移默化地影响着人的思维和行为方式，以及整个社会的公序良俗。当一个社会普遍缺乏科学精神，相伴生的不讲诚信、浮夸浮躁也会渗透到产业界、科研界乃至全社会各个角落。所以，要问怎样才能刹住这股抄袭造假、坑蒙拐骗的歪风？答案是靠科学精神。

也是在1919年，中国舶来了“科学”，科学方法、科学思想在这片古老的大地晃晃悠悠走过近百年，辅助我们自立自强。然而，作为统领的科学精神却一直落不了地——在我们这里，不讲契约精神所付出的成本太低，不讲科学精神所带来的后果得不到重视，以至于舶来的这对“兄弟”很难找到落地生根的土壤。