被抄之前先想好：vibe 项目的反克隆护城河预案

一、克隆战争已经开打：两个数字

先看两个 2026 年 10 月的数字。

第一个数字：-18%。据报道，2026 年 10 月这届 Steam Next Fest（10 月 19 日至 26 日），开发者提交量同比下降了 18%，主办方承认，开发者把"克隆风险"列为退出的首要原因（emergent.sh，约 2026 年 10 月 19 日报道）。这不是抽象的焦虑，是具体的撤退：Alliance Arts 的《Drunken Goddess Reflux》原定 10 月 19 日上线公开 demo，开展前几天临时取消，改成 Discord 封闭测试——理由写得很直白：怕 demo 被拿去用生成式 AI 快速仿制，甚至抢在原版（12 月 8 日发售）之前上市（Polygon，2026 年 10 月 16 日报道）。《Moonlighter》开发商 Digital Sun 的《ReVamp》也做了同样的收缩：公开测试推迟，先做 Discord 内测，理由是"最近有未发售游戏被复制抢先上架的报道"，公开构建"风险太大"（Game8，约 2026 年 10 月 19 日报道）。

第二个数字：44,000。2026 年 9 月 30 日，开发者 Brandon Thomas 开始往 GitHub 上传代码，以 Anthropic 的 Claude Opus 5.5 为主力编码工具，用纯 Rust 写出了 Adobe 全家桶的开源复刻：PhotoCraft（对标 Photoshop）、VectorCraft（Illustrator）、FilmCraft（Premiere Pro）、LightCraft（Lightroom）、EffectCraft（After Effects）、DesignCraft（InDesign）、PdfCraft（Acrobat）。据报道，旗舰项目 PhotoCraft 在 11 天内拿下 44,000 个 GitHub stars（newscast.tech，约 2026 年 10 月 17 日报道）；随后他又复刻了 Word、Excel、PowerPoint 三件套。开源老兵 Eric S. Raymond 的评论是："Adobe just got nuked."

把这两个数字放在一起，结论只有一句话：2026 年，代码不再是壁垒，功能不再是护城河。demo 不敢发，是因为发出来等于把"施工图"递到克隆者手里；Adobe 全家桶能被一个人加一个模型在 11 天里复刻到"能用"的程度，说明"功能"这个维度的竞争已经变成了体力活——而 AI 最不缺的就是体力。

但"躺平任抄"同样不是答案。克隆者抄的是"现在的你"，护城河要建在"抄不走的你"上面。这篇指南就是那份预案：在被抄之前，先把护城河想好、建好。

二、灵魂拷问：如果代码库明天被偷光，你还赢吗？

先做一道压力测试，诚实回答：如果竞争对手明天偷走你的整个代码库和内容库，你还赢吗？

这不是修辞。这是对 vibe 项目最锋利的一次体检——因为 2026 年的现实是，"代码库被偷走"不再需要商业间谍，只需要一个有耐心的克隆者加一个强模型。ArtCraft 证明了"从零复刻"只要 11 天；直接"偷"只会更快。

如果你的第一反应是"完了"，那说明你的全部身家都押在"功能"这一层——而这一层恰恰是 AI 贬值最快的一层。如果你的回答是"能"，追问三个问题，看看你的底气是不是实的：

追问一：用户为你的什么付费？为功能付费的用户，克隆者用一半的价格就能抢走；为结果、信任、归属感付费的用户，克隆者抢不走。把你的付费用户列出来，诚实标注每个人"为什么留下"——如果 80% 的理由都是"功能"，护城河就是纸糊的。

追问二：你的数据有没有飞轮？用户用得越多，产品变得越好吗？如果答案是"没有"，那你和克隆者的起跑线是同一条——谁先抄完谁赢，而抄永远比原创快。

追问三：你的更新速度，克隆者跟得上吗？克隆者抄的是快照，你发的是视频流。如果你的版本更新速度比他"抄完一版"的时间还快，他永远在追你的尾灯。

这三个追问，对应的正是后面要讲的三层护城河。先记住这个结论：vibe 时代，"被抄"是默认结局，不是小概率事件。预案的价值，是把"被抄"从生死存亡降级成运营噪音。

三、三层护城河：数据、网络、身份

护城河不是一道墙，是三层结构，越往上越难抄（见下图）。三层之间是乘法关系：只有一层的项目最脆弱；三层叠满的项目，克隆者抄完代码会发现——最值钱的东西根本不在代码里。

底层：数据护城河（最宽，抄走需要"时间"）。用户行为数据、标注数据、领域语料、私有评测集。AI 写作工具沉淀的用户语料微调、客服 bot 的历史对话、垂直 SaaS 的行业模板库——这些都不是"写"出来的，是"熬"出来的。克隆者可以一夜抄完你的功能，但抄不走你三年的数据积累。vibe 项目的落地动作：从第一天就设计数据回流（用户行为埋点、反馈闭环、语料沉淀），让"用的人越多，产品越好"真实发生，而不是写在 BP 里的口号。

中层：网络护城河（抄走需要"生态"）。双边网络（创作者—读者、买家—卖家）、切换成本、集成生态。你的 API 被 200 个第三方集成了，你的模板市场有 5000 个创作者在赚钱，你的用户想把历史数据导出去要折腾三天——这些都是网络层的砖。vibe 落地：做插件/模板生态（哪怕一开始只有 20 个模板）、鼓励用户把工作流沉淀在你这里（而不是一次性导出）、开放 API 让别人基于你构建——被集成得越深，越难被替换。

顶层：身份护城河（最窄，但抄不走）。品牌、人格、信任、归属感。用户买的不是功能，是"我是这类人"的身份认同。vibe 落地：创始人的 build in public 人格（用户认识你这个人）、垂直社区的 KOL 地位、开源项目 maintainer 的信誉。克隆者可以复制你的 UI，但他复制不了用户对你的信任——信任是时间函数，不是代码函数。

一个冷峻的提醒：三层护城河里，只有数据层是"越老越值钱"的，网络层和身份层都需要持续运营。护城河不是挖一次就完事的工程，是每天都要加固的习惯。这就引出了下一节：最便宜的那条护城河。

四、速度是最便宜的护城河

三层护城河之外，迭代速度是唯一"不要钱"的那条。克隆者抄的是快照，你发的是视频流——只要你的更新速度比他"抄完一版"的时间快，他永远在追你的尾灯。

讽刺的是，ArtCraft 的 Brandon Thomas 本人就是速度的信徒：据报道，他在项目第一周基本保持着"每小时一次 commit"的节奏（tuxwraith.com，约 2026 年 10 月 12 日报道）。连克隆者都在用速度碾压原版——Adobe 的发布节奏以季度计，他以小时计。速度这条护城河不认"原创"还是"克隆"，谁快谁就有。

对 vibe 项目来说，速度是天然优势：一个人加 AI 的迭代速度，天然快于大公司的评审流程。实操上，把速度变成护城河需要两件事：

第一，建立"一直在进化"的用户感知。高频 changelog、公开的更新日志、每次更新都告诉用户"我们又往前走了一步"。用户感知的不是某一个版本，而是"这个团队一直在动"的加速度。克隆者可以抄走 v3.0，但他抄不走"每周都更"的节奏——而用户会为节奏买单。

第二，处理好"公开路线图 vs 保密"的权衡。这是速度型防御里最容易踩的坑：全公开等于给克隆者送"施工图"，全保密等于放弃"预期管理"。建议的切分线是——

公开（做"预告片"）：方向和愿景（"我们要做创作者的 X"）、发布节奏（"每月一个大版本"）、已验证的用户价值（"5000 个团队在用 Y 功能"）。作用是锁定用户心智、建立预期，让克隆者即使抄了功能也抄不走"人心所向"。
保密（藏起"施工图"）：具体实现路径（技术选型、架构细节）、数据策略（语料来源、飞轮设计）、未发布的杀手功能（上线前两周再预热）。晚一天暴露，就多一天领先。

一句话总结：路线图要做成"预告片"，不要做成"施工图"。预告片吸引观众，施工图方便同行。

五、社区绑定：把用户变成共同体

build in public 不只是营销，它是防御工事。克隆能抄代码，抄不走你和用户的 200 次对话。

想清楚这个逻辑：当你公开构建过程，用户见证的是你的 200 次迭代、50 次翻车、30 次"听用户的话改方向"——克隆者拿到手的只有第 200 次的结果。他抄的是"答案"，你拥有的是"解题过程"在用户心里的全部信用。用户为"一路看着你做出来"付费，这种信用没有快捷键。

1. 把核心用户变成"自己人"。内测群（可签 NDA）、路线图投票、用户故事专栏。Discord/微信群里的每一次深夜答疑、每一个"这个功能是听 @某某 的建议做的"，都是克隆者无法复制的社会资本。Drunken Goddess Reflux 转向 Discord 封闭测试，恰恰说明了同一个道理：封闭的高信任社区，本身就是护城河的一部分。

2. 让用户的工作流沉淀在你这里。历史记录、收藏、模板、协作关系——沉淀得越多，迁移成本越高。一个纯工具型、无账号体系、无社区的产品，被抄后用户迁移成本为零，死得最快。

3. 把贡献者变成共同体。开源项目尤其如此：contributor 体系、公开致谢、maintainer 的信誉。克隆者可以 fork 你的代码，但他 fork 不走你的 contributor 社区——人不为代码留下，人为"被看见、被感谢、被需要"留下。

反例警示：死得最快的被抄项目，往往是"三无"项目——无账号（用户零沉淀）、无社区（用户零归属）、无更新（产品零进化）。三无产品被抄，用户连"要不要搬家"都不用纠结，因为根本没有"家"。

六、技术性防御分层：让"可抄"的部分替你获客

技术防御的目标不是"防住"——2026 年了，防住是不可能的。目标是两个：提高克隆成本，留下证据链。思路是分层：让"可抄"的部分替你获客，把"抄不走"的部分藏好。

分层架构：免费版可抄，核心放服务端。类比一下：把"菜谱"公开，把"中央厨房"藏好。客户端/开源版做成"够用且好看"的获客层——克隆者抄走它，等于替你验证了 PMF；真正的核心（核心算法、排序模型、私有数据、计费逻辑）只以 API 形式暴露在服务端。具体手段：核心逻辑服务化（API 化）加计量限流、关键数据不下发客户端、模型权重不发布（只给 API 调用）。

水印溯源：给所有产出物打上"出生证明"。AI 生成的图片、文本、导出的文件里嵌入不可见水印，前端埋点和 API 返回里带上可追溯标记。被抄那天，这些水印就是"这是我生的"的时间戳证据。具体做法本站有专门指南：《网页水印与防爬实战：保护你的内容、图片和 API 不被薅秃》（vibe-project-watermark-anti-scraping-guide），防守方视角，铁律是"不留绕过手段"。

开源项目的四件事前措施（ArtCraft 全 MIT 协议这件事，值得每个开源作者想一想）：
1. License 选型：MIT 最宽松（也最容易被商用克隆），AGPL 要求衍生作品开源，SSPL 更进一步。没有标准答案，只有 trade-off：要传播用 MIT，要防御用 AGPL/SSPL。
2. 商标保留：代码可以开源，品牌名、Logo 不开源（注册商标）。克隆者能 fork 代码，不能用你的名字——名字是身份护城河的法律载体。发布前的品牌资产锁定，见本站指南《名字被抢注才后悔？vibe 项目发布前的品牌资产锁死实战》（vibe-project-brand-domain-protection-guide）。
3. CLA（贡献者许可协议）：接受外部贡献前签 CLA，确保你对代码有完整的再许可权，关键时刻能统一行动。
4. Open Core：核心开源获客，商业/高级模块闭源或服务化。开源版是"诱饵"，服务版是"护城河"。

最后泼一盆冷水：技术防御里最贵的是"过度防御"——把 80% 的精力花在防抄上，产品本身没人用，防的是空气。记住优先级：先让产品值得被抄，再谈防抄。

七、被抄当天的 72 小时清单

预案的最后一部分，是"真的发生了"怎么办。被抄当天，大脑会宕机，所以清单要提前写好，存在手边。

0–8 小时：证据固定。先别吵架，先固定。git 提交记录、发布时间线、应用商店上架时间截图；用 Wayback Machine 存档对方页面（页面随时可能改）；购买/下载对方产品留凭证；关键证据做公证或时间戳认证。情绪化的第一反应是去对线——忍住，对线赢不了官司，证据可以。

8–24 小时：公开叙事。叙事权是第一战场。先发制人讲清楚时间线："我们 X 月 X 日发布，对方 Y 月 Y 日出现"，摆事实、不骂人；准备好对比截图（UI、文案、功能点的时间线对照）；话术模板提前写好，核心三句：我们是原创（时间线为证）、我们不一样（差异化在哪）、我们在行动（已采取的措施）。记住：公众同情原创者，但只同情"体面"的原创者。

24–48 小时：用户沟通。给用户吃定心丸。发公告/邮件，讲三件事：差异化（数据、服务、更新节奏——呼应第三、四节）、路线图（"下个月我们要上 X，抄是抄不完的"）、感谢（"谢谢你们一直站在原创这边"）。被抄是危机，也是把"我们是原创"变成品牌资产的机会——处理得好，老用户忠诚度反而上升。

48–72 小时：法律选项。证据固定完、叙事先行，再谈法律。DMCA takedown（GitHub、应用商店、云服务商都有标准流程）、向平台 Trust & Safety 举报（Steam、App Store、Product Hunt 对克隆/仿冒有处理机制）、律师函（先礼后兵，很多克隆者收到律师函就偃旗息鼓）。完整的法律流程、DMCA 实操细节、平台举报入口，本站指南《被抄了怎么办：vibe 项目的 IP 维权实战》（vibe-project-ip-defense-guide）有全套实战手册——那篇是"事后维权"，本篇是"事前预案 + 事中反应"，两篇配合使用。

三条红线，写进预案里：不人肉、不煽动网暴、不在证据固定前公开指控。法律战打的是证据，不是情绪；情绪发泄一时爽，证据链断了哭都来不及。

八、检查清单：护城河健康度 8 项自查

最后是一张可以直接打印贴墙上的自查表。8 项里，"是"越多，护城河越深；"否"超过 3 个，说明你现在就是"三无"高危状态，优先补。

1. 数据飞轮：用户用得越多，产品变得越好吗？（"是" = 有数据护城河；"否" = 你和克隆者在同一起跑线）
2. 切换成本：用户离开你的成本有多高？（历史数据、集成深度、协作关系，沉淀得越多分越高）
3. 网络效应：有没有"用户带来用户"的结构？（模板市场、邀请机制、社区内容，任一成立即算"是"）
4. 身份绑定：用户会为"你"而不是"功能"留下吗？（认识你这个人的用户占比，就是你的身份护城河深度）
5. 迭代速度：你发新版的速度，比对手抄完旧版快吗？（量化一下：你的发布周期 vs 预估的克隆周期）
6. 服务端核心：最值钱的那部分逻辑，躺在服务端还是客户端？（在客户端 = 裸奔；在服务端 = 有门）
7. 证据链：提交记录、发布时间线、水印，齐吗？（被抄那天 0–8 小时要用的东西，现在就该备好）
8. 72 小时预案：负责人、话术模板、律师联系方式，写好了吗？（没写 = 这篇指南白读了）

回到开篇的灵魂拷问：如果竞争对手明天偷走你的整个代码库和内容库，你还赢吗？护城河的终极定义就是：让这个问题的答案，变成"赢"。代码会被抄走，功能会被复刻，demo 不敢发的日子可能还会持续一阵子——但数据、网络、身份、速度、社区，这些抄不走的东西，才是你真正的公司。被抄之前先想好，被抄那天不慌张。这就是全部。