此前，一位網友提問，既然要建中國版Wintel，為何不用自主CPU+自主作業系統，而是用自主CPU+Linux呢？
鐵流的回覆是，如果有內核全部自主開發的作業系統，那自然是好的，但現在的問題是沒有自主內核的作業系統，因而只能退而求其次，選擇Linux了。
這位網友認為，Linux本質上說也是"舶來品"，雖然是開源的，但國內公司貢獻的代碼相對有限，做的也主要是"換皮"這類工作，Linux主要還是洋人在維護，Linux與自主可控並不天然劃等號。
從實踐上看，Linux存在諸多漏洞，以下內容根據公開消息整理：
CVE-2018-17182，這是Linux內存管理子系統中的緩存失效錯誤，導致釋放後使用漏洞，如果被利用，可能允許攻擊者獲得目標系統root權限。
CVE-2018-18344，這個漏洞源於timer_create系統調用的實現沒有正確地驗證sigevent->sigev_notify欄位。攻擊者可利用該漏洞讀取任意的內核內存。
CVE-2017-2636，該漏洞在Linux內核已經存在7年了，它能夠讓本地無權限的用戶獲取root權限，或者發動DDoS讓系統崩潰。
CVE-2016-5195，也就是髒牛漏洞，這是一個非常低級的漏洞，但非常難以置信的是，在Linux內核中已經有長達9年的時間。這個漏洞可以讓Linux內核的內存子系統在處理寫入時複製時產生race condition，惡意用戶可利用此漏洞，來獲取高權限，對只讀內存映射進行寫訪問。安全專家Phil Oester稱發現一名攻擊者利用該漏洞部署攻擊，並向Red Hat通報了最近的攻擊事件。
CVE-2016-0728，該漏洞是Linux系統內核中一個高危級別的本地權限提升0day漏洞，曾經有66%的安卓手機和1000萬Linux PC和伺服器都受到這項內存洩露漏洞的影響。
CVE-2018-16864、CVE-2018-16865、CVE-2018-16866，CVE-2018-16864和CVE-2018-16865是內存損壞漏洞，CVE-2018-16866是信息洩露漏洞。
在某年的USENIX安全會議上，美國加州大學河濱分校和美國陸軍實驗室的研究人員介紹了Linux的一個高危漏洞，並表示如果通信交換的過程不是加密的，那麼該TCP / IP網絡漏洞可以導致攻擊者識別兩個實體間的通信，從而進行流量劫持以及其他操作。另外，這種攻擊並不是中間人攻擊，攻擊者只需要知道其ip地址和目標埠，然後發送欺騙性的數據包到兩端即可。
......
誠然，由於Linux開源狀態下，全球安全研究人員都可以進行審查，使其"相對透明"，"相對安全"，但連續不斷被發現存在漏洞，也說明開源軟體並不等於無懈可擊。
由於Linux的代碼大部分都是洋人寫的，且代碼審核的權限絕大部分不在中國人手裡，以及國內諸多Linux作業系統公司實力有限，所做的工作並非是自建內核，或從內核搭建的系統，而是修改別人的發行版（Fedora、Debian），也就是不少網友調侃的"換皮"。
即便將Linux內核視為"無懈可擊"，這種"換皮"的做法依然存在一定風險了，因為從內核變成系統的過程中有太多風險，很多東西可以混進去。
另外，目前，Intel、紅帽等美國科技公司擁有較高的代碼貢獻率，而西方科技公司一貫有配合美國情報部門的傳統——這一點，斯諾登已經在稜鏡事件中披露了。
因此，不排除西方科技公司在貢獻Linux代碼的時候，事先就植入了後門（這些後門被發現後就稱為漏洞）。甚至，不排除一些Linux代碼貢獻者本身就是CIA、FBI的特工。
這就導致即便Linux開源，也無法保證國產Linux作業系統的代碼中不存在西方科技公司事先埋入後門的可能性。
鐵流認為，目前國內一些把Linux、Risc-V開源等同於自主可控的觀點，有一點過了。
具體來說，如果上基於Risc-V自主設計的CPU，核心IP全部自己寫，OS和應用軟體全部自己寫，那麼，說自主可控到也說得通。但如果只是從洋人手裡"拿"一個所謂的開源Risc-V內核自己設計SoC，那麼，鼓吹自主可控就值得商榷的。
類似的，如果能夠把Linux徹底吃透，並且能夠類似於安卓那樣另起爐灶，即便將來川普制裁（假設西方唯川普指揮棒是從），國內Linux廠商也能擺脫國外技術支持自己走下去。那麼，說國產Liunx作業系統自主可控也行。
但如果是處於現在的狀態，主要工作集中在"換皮"，無法吃透Linux的所有細節，也沒法自己獨立走下去，那麼，談自主可控就有瑕疵了。
一位朋友認為，國產Linux其實和合資OS是類似的，大家都是技術引進，都是從洋人那裡"拿"源碼，誰也不比誰天然高一等。關鍵在於能否形成能力和實現消化吸收再創新——國內廠商能不能把源碼吃透？能不能實現"青出於藍而勝於藍"。
比如國產Linux能否基於Linux進行發展，擺脫國外技術的依賴，走一條自己的路？
又比如合資OS能否實現消化吸收，並完善發展支持自主CPU？
總而言之，不能因為Linux、Risc-V打了開源標籤，就天然認為其符合自主可控，就技術引進項目來說，開源與否並非考量的關鍵，研發能力和能否實現"青出於藍而勝於藍"才是重要考量指標。