开源中国马越：Token 要管起来，AI 投入需要一本明白账

9 月 16 日，在2026 ITValue Summit 数字价值年会上，开源中国董事长马越讲了一件他口中软件历史上都很少出现过的事：去年，一家著名运营商采购了他们 6000 万元的产品，其中没有硬件，全部是软件授权，一共 10.5 万个。“历史上没出现过一个央企愿意为工具掏这么多钱，而且这么支持知识产权。”他说。

同一场演讲里，他给这件事补了一个注脚。“开源有个幻象，就跟大模型的幻觉一样。”马越说，很多人对开源的印象是“白嫖有理”、不必付钱，他觉得这是一种幻觉。

他给出的数字是：开源中国旗下代码托管平台 Gitee 注册用户将近 2000 万，代码仓超过 4000万，企业用户超过45万家，他称之为“实至名归的中国的 GitHub”。

这组数字背后，是他在用一整场演讲回答的问题：一家做了20年开源的公司，怎么把自己养活，又怎么在 AI 时代接着活下去。前半场的答案已经落进了一张采购单；后半场，是他给 AI 时代立下的两个题目：AI工程，和Token治理。

开源不是“白嫖”

当初做开源中国，他的理由很实在：在中国做 to B 的生意太累，“收入没有酒量涨得快”，而互联网 to C 看起来太美好。那时这个社区带着很强的利他主义色彩，他们希望当年不被老板们看好的开源技术，能够真的武装这个行业的每一个开发者。

但社区本身不挣钱，他得先回答最实际的那个问题：一家开源公司，怎么养活自己。他要打破的，正是那种“白嫖有理”的错觉：这个行业早已是血淋淋的、残酷至极的商业化竞争，也是技术追赶者打破技术垄断的必由之路。

他拿中国的大模型举例：能力上暂时不如 OpenAI，就走一条弯道超车的路，站在巨人的肩膀上，用蒸馏的方式追赶，而那条路就是开源。所以他的结论是：“开源无论如何要有它的商业化，这样才可能持久。”开源中国这些年的尝试，就是想把这个免费的、人人为我我为人人的平台，做出一个生意的闭环。

想通这件事之后，他还是回到了老本行：“干什么出身的，最终还得干什么。”

央企开始为软件工具掏大钱

他说的老本行，是软件工程的开发平台，也就是通常说的DevOps。他说这个平台过去十几年在国内已经遥遥领先。对标的对象在大洋彼岸：美国有三家上市公司做类似的事，蓝色的 Atlassian、黄色的 GitLab、绿色的 JFrog，三家合起来，正好覆盖了软件工程从需求、设计、编码、持续集成与部署到测试的整个生命周期。这个平台正是开源中国的 Gitee。

一个研发组织里的各种角色，从项目经理、产品经理到程序员、测试工程师、安全工程师、配置管理员，都用这套平台。按他的说法，开源中国是“到今天世界上唯一一家”把这些工具整合成一个完整平台的公司。也是在这套平台上，他推出了一项叫效能度量的工具，向企业回答一个问题：这么大的 IT 投入，到底创造了什么价值。

这套平台真的赚到了钱。他透露，开源中国的付费客户主要有两类：一类是公有云上每年付费的上万家客户；另一类是中国耳熟能详的头部大企业和央企，覆盖金融、制造业、泛科技和云服务。

他把这笔订单和过去的采购习惯做了对照：“过去大家都知道，Linux 我可能用了 1 万套，我买 10 套就不错。”但这次不一样。他说，“央企的大领导对知识产权的认可、对效能工具的重视到了空前的高度，在座的如果也有做软件服务业的，我们的好日子可能真的要开始了。”

软件工程必须升级为 AI 工程

钱是赚到了，但马越仍然很焦虑。

焦虑来自他在一线看到的事：用 AI 用得最多的人，一定是开发者。他说，现在不用学编程也能用AI写代码，但最快上手的一定是有过编程背景的人。

这些开发者，正在倒逼软件的形态改变。关于 AI native，马越有他自己的总结：“过去，你一念起要跟软件做交互，CPU 就开始转；现在一念起，GPU 得开始转。而我们的软件本身，如果没有时间快速地从软件工程平台迭代到 AI 工程平台，未来是没有希望的。”

顺着这个逻辑，他把问题递给了台下的 CIO 和 CFO：“可以审视一下自己内部的研发部门，我们有多少事是指着 CPU 干的，有多少事是让 GPU 干的。”在他看来，这一点特别能量化，不用把事说得那么高大上：企业研发里，多少活还指着传统软件流程干、多少活已经开始交给模型和算力干，这笔账是能算清楚的。

他也透露了自家产品的下一步：新一代产品，要把软件工程和AI工程之间的gap尽量填上。“我们未来一定是把软件工程升级为AI工程。”他说。

Token 要管起来

讲完转型，马越把话题落到当天最具体的一个新东西上：企业的 Token 治理。他先摆出两重担心：一是怕失控，“不光是我们企业怕失控，现在连 OpenAI 都怕失控”；二是怕打水漂，钱白花了，Token 烧了一堆，最后没有 IT Value，也不见 Business Value。

他给出的解题思路，叫“中国特色的 Token 治理”。他认为，公司领导面前就该有这样一块新的看板：自动生成、实时监控几个维度的数字。

第一个维度是质量安全：你买的 Token 是不是在中间被偷换了？他举了个直观的例子：“号称买的是 Claude，没准中转站莫名其妙就给你换成 DeepSeek 了。”

第二个维度是使用量。他给的场景很具体：一家公司有 1000 个、2000 个研发人员，分布在多少个项目组、干着多少条产品线？他要看每个人用了多少 Token，也要看每个团队用了多少，还要看到每个项目、每个产品线的用量，最后把总量管起来。

第三个维度是效率。每个人prompt能力不一样，用的Token 也不一样。通过上下文、日志，就能看出来谁是“Token 使用小能手”。

第四个维度是安全。给到团队的 Token 额度，会不会被挪作他用？内部敏感信息，会不会顺着 Token 的使用泄露出去？

四个维度合起来，目的很朴素：让大家不单拥抱 Token，还要放心地、高效地使用 Token，把 ROI 提上去。但管住只是前半句；更重要的后半句是，这些钱到底变成了什么。

AI 投入要有一条能追溯的证据链

治理的终点是价值。马越说，企业的 AI 投入要变成一条能追溯到交付结果的证据链，每一块钱的成本，最终都要回答转化成多少价值的问题。他说，这种可追溯的做法，眼下业界并不多，但已经有企业开始尝试。

马越这个理念依托于开源中国的 Moark AI Lens、Gitee 与 Moark产品矩阵而落地实践。正如他在演讲中所概括的：“Gitee知道代码怎么交付，Moark知道Token怎么消耗，Moark AI Lens把两边对上账——AI是成本还是产能，第一次有了答案。” 通过打通代码交付数据与Token消耗数据，企业第一次能够在一个统一的视角下，回答“AI投入到底值不值”这个核心问题，这不仅是研发管理者的仪表盘，也是CIO面向董事会和CFO的一套新语言。

这条证据链的底气，来自开源的长期积累。他说，公司做了 20 年雷锋，攒下 2000 万用户、45 万企业客户，“每天有将近 2000 万人在找我们做事情。”在他看来，不用去号召谁，听用户的声音、跟着用户走就够了。

收尾的时候，他给这场演讲落了一句总结：AI 投入的价值，一要可计量，二可归因，三可治理，最后可提升。

从软件工程的效能度量，到 AI 时代的 Token 治理，马越想做的始终是同一件事：让企业为研发和 AI 花的每一块钱都有据可查。用他的话说，这是把对 AI 的 Fear 和 Anxiety，变成 Power。