当开源成为"安全威胁"
一个让所有程序员后背发凉的消息正在英国发酵。
NHS England正在准备关闭几乎所有开源代码仓库。理由？听起来很硬核——AI安全扫描工具Mythos太厉害了，我们得赶紧把代码藏起来。
说人话就是：因为怕被AI偷看，所以把门焊死。
但问题是，这扇门早就被踹开过了。
一位内部人士的"坦白"
消息人士给作者发来了一段据称来自NHS England高级技术人员的内部表态：
"我们正在关注Mythos这类工具，它们在查找漏洞方面非常老练。未来几周，我们将改变策略——在掌控风险之前，不再公开代码。大多数代码库，除非极其必要，否则将以安全为由被移除。"
注意"未来几周"这个时间点。
4月29日，一份编号为SDLC-8的指导意见已经发出。官方说法是：大部分NHS代码库根本不受先进安全扫描技术的影响。它们主要是数据集、内部工具、指南、研究工具、前端设计之类的东西——根本不可能引发什么安全事件。
那为什么还要全关掉？
抗疫时期的"反面教材"
作者曾在NHSX工作过，正值新冠疫情最严重的时期。
当时他们做了什么？把新冠接触追踪追踪应用直接开源。没错，就是那个被全国强制安装、装在数百万人手机上的App。那可是被敌对势力盯着看的应用，承受着巨大的安全压力。
结果呢？开源了，代码、架构、文档全公开——零安全事件。
这个案例甩在今天这份SDLC-8指导意见脸上，真是要多响有多响。
政策自己打自己脸
这事儿最魔幻的地方在于：NHS正在亲手推翻自己定下的规矩。
英国Tech Code of Practice第3条白纸黑字写着什么？"Be open and use open source"——开放，使用开源。写得清清楚楚。
NHS服务标准怎么说的？"几乎没有什么代码必须闭源"。唯一例外是尚未公布的政策相关代码——政策公布后也得赶紧开源。
DHSC的政策文件《Data saves lives》更绝。承诺601，完成于2022年5月，白纸黑字承诺要发布一份"如何开源你的代码"的数字 playbook。
NHS Digital的软件工程质量框架也是同一套话术：默认情况下，我们应该公开编码。
现在回头看这些文件，真是讽刺。
掩耳盗铃的完美示范
让我问一个简单的问题：现在才想起来关代码库，是不是有点晚？
Mythos这类AI工具最擅长什么？爬取、复制、分析。如果它真是"终极黑客"，它会等你关库之后再动手？
作者说得相当不客气：就算你真能把代码藏起来——也晚了。该拿的，人家早就拿完了。
更扎心的是什么？这些AI工具分析闭源代码一样好使。它们能反编译二进制文件，能探测网站漏洞，闭源在它们眼里根本不是障碍。
所以这波操作的实际效果是：既没有真正保护任何东西，又亲手毁掉了开源带来的所有好处。
成本？谁买单
还有一个很现实的问题没说清楚。
NHS官网上有数万页面引用了GitHub仓库链接。这些页面要不要更新？链接失效了怎么办？用户点进去看到404，信任度怎么办？
这些工作量谁来做？钱谁出？
没人提。
真正的赢家是谁
评论区有个猜测挺有意思：
"会不会是医疗软件公司在背后游说？把代码闭源了，他们才能继续卖那些天价的闭源解决方案。"
我不知道答案。但这个逻辑确实通顺。
开源意味着透明、意味着可复用、意味着不必被单一供应商绑定。有人靠闭源吃饭，有人靠开源活着。
NHS这一刀下去，砍掉的不仅是代码仓库，还有整个生态系统的可能性。
有人已经留了后手
好消息是，作者说他已经帮NHS把所有代码库都备份了一遍。
因为软件许可证允许，如果原始仓库被关闭，这些代码可以重新发布。
换句话说，NHS关得再快，也快不过已经扩散的副本。
这大概就是开源的宿命——一旦open过，就再也回不到closed了。
尾声
写到这里，作者已经向NHS提交了信息自由申请，想搞清楚这决策到底是谁拍的板、依据是什么。
他还呼吁所有看到这篇文章的人：给你的议员发邮件，告诉他们NHS这么做是错的。
"不要让他们夺走你查看支撑我们国家医疗保健代码的权利。"
说实话，看到一个曾经的政府技术顾问用这种近乎恳求的语气说话，挺不是滋味的。
这事儿跟Mythos关系不大。这是一场关于"公开"和"封闭"的路线之争，而NHS正在选择那条看起来最安全、实际上最危险的路。
恐惧总是比理性跑得快。
【锐评】：NHS这波操作属于典型的"用战术勤奋掩盖战略懒惰"——关代码库简单粗暴，又能向上交差，但真正的问题一个没解决，还把家底败光了。开源不是慈善，是公共服务的一部分。关掉的不是代码，是信任。
参考链接：
https://shkspr.mobi/blog/2026/05/nhs-goes-to-war-against-open-source/