Agent 写的代码，许可证算谁的？Vibe 项目的合规自查清单
你的 Agent 可能在不知不觉中把 GPL 代码粘进你的闭源项目——而「是 AI 写的」在法庭上不是辩护理由。本文讲清 AI 生成代码的许可证风险到底在哪：训练数据的传染、Copilot 官司的现状、以及一份独立开发者今晚就能跑完的合规自查清单。
风险在哪：不是「AI 写的」，是「从哪学来的」
先讲清一个误解：法律不关心代码是谁敲出来的，关心的是它是不是复制了受保护的表达。Coding agent 的训练数据里有海量开源代码，包括 GPL、AGPL 这种「传染性」许可证的代码。当 Agent「凭记忆」吐出一段与某个 GPL 项目高度相似的函数，这段代码就可能把传染性带进你的项目。
这不是理论风险。GitHub Copilot 从 2022 年起就深陷集体诉讼，原告指控它未经许可复制开源代码。案件打到 2026 年还没完，但传递的信号很明确：法院正在认真对待「AI 复制代码」这件事。你的 vibe 项目现在没人告，不代表长大之后没人翻旧账。
三类高危场景，自查对号入座
第一，Agent 直接搬运。你让 Agent「参考这个库实现一个类似功能」，它可能把 GPL 库的核心逻辑几乎原样重写一遍。功能相似不侵权，但表达相似就危险——而 Agent 恰恰擅长「换个变量名重写」。
第二，依赖地雷。Agent 为了完成功能，会自己 npm install / pip install 一堆包。它不看许可证，你也不看。等项目要商业化了，一扫发现依赖树里躺着三个 AGPL 包——AGPL 的传染性连「通过网络提供服务」都算分发。
第三，训练数据回流。有些 AI 编程工具的条款里，你的代码会被拿去改进模型。你的商业机密喂进去，变成别人 Agent 吐出来的「灵感」。签约前看一眼数据条款，是最低成本的风控。
今晚就能跑完的自查清单
1. 扫依赖：跑一遍 license-checker（npm）或 pip-licenses，列出所有 GPL/AGPL/LGPL 依赖，逐个判断去留。AGPL 进商业项目，默认答案是删。
2. 问 Agent 要出处：让 Agent 生成关键模块时，加一句「避免复制现有开源项目的表达，用你自己的实现方式」。不能根除风险，但能大幅降低「凭记忆背诵」的概率。
3. 隔离第三方代码：参考来的代码单独放目录，标注来源和许可证。真出事了，隔离做得好，整改就是删目录，而不是重写整个项目。
4. 看工具的数据条款：确认你用的 AI 编程工具不会拿你的代码训练。企业版通常有明确的不训练承诺，免费版不一定。
5. 商业化前找律师看一眼：个人项目阶段这份清单够了，但一旦要融资、要卖、要进大公司的采购流程，花一笔律师费做开源合规审计，是最值的钱。
我们怎么看：合规是 vibe coder 的成人礼
说实话，99% 的 vibe 项目到不了被告的规模。但合规习惯的价值不在避诉，而在让你的项目随时可卖、可融资、可被收购。尽调时第一份要的就是代码合规报告，临时抱佛脚的成本是平时的十倍。
把这份清单做成你每个项目的「收尾仪式」：功能跑通那天，花一小时扫依赖、标来源、看条款。Agent 帮你把写代码的速度提了十倍，别让许可证成为你唯一没加速的那块短板。
相关文章
公网上的每个接口都会在某个深夜被超预期调用。这篇实战为一人团队搭建限流体系：算法选型（滑动窗口 vs 令牌桶）、四层防御、AI 接口烧钱专项防护、配额设计、429 响应规范、误伤排查，最后附上线检查清单。
每个 vibe 项目迟早需要定时任务：每日数据同步、过期订单清理、账单对账、定时报告。AI 给你的第一个版本通常是 setInterval——开发够用，生产必死。这篇实战给出四种跑法的选型地图（应用内/Vercel Cron/GitHub Actions/Cloudflare），cron 表达式速查与时区坑，幂等性、防重叠分布式锁、失败重试与告警、可观测性 run log，以及 cron 接口的鉴权，最后附上线清单。
每个 vibe 项目迟早会遇到同一个时刻：列表页一打开就要查十几次库，并发稍高数据库就被打满。这篇实战从缓存的三问心智模型讲起，逐层拆解 HTTP 缓存头、Next.js 数据缓存、Redis 应用缓存与 AI 结果缓存（语义缓存/prompt 缓存），给出缓存键设计、穿透击穿雪崩的三件套解法和失效策略，最后附一份上线检查清单。