微軟於 2009 年 10 月針對筆電/上網本發布 Windows 7 USB/DVD Download Tool，方便將安裝檔寫入 USB/DVD。不久後開發者 Rafael Rivera 發現：該工具內含 ImageMaster（GPLv2 授權開源專案）原始碼，但微軟未公開自有原始碼，違反 GPL 「衍生作須同樣授權」條款。微軟隨即公開道歉、暫停下載、啟動內部調查。
事件時間軸
- 2009/10：微軟發布 Windows 7 USB/DVD Download Tool（官方下載頁）。
- 2009/11：Rafael Rivera 發表部落格分析，指出二進位檔含 ImageMaster 特徵字串、錯誤訊息、介面邏輯，極高機率直接編譯其原始碼。
- 2009/11：微軟發言人承認「不小心」納入 GPL 程式碼，未履行開源義務，正式道歉並暫停工具下載連結。
- 後續：微軟重寫工具移除 GPL 程式碼，重新發布合規版本。
GPL 核心條款與爭議點
- GPLv2 第 2 條：衍生作品須以 GPL 授權釋出，並提供完整原始碼。
- 微軟工具為專有軟體（EULA），未提供原始碼，構成違反授權。
- 「借鑒」與「直接編譯」界線模糊，但二進位比對證據強烈指向直接使用。
微軟回應與後續
- 公開聲明：「我們嚴肅對待開源授權合規，已暫停下載並徹查。」
- 內部審查開發流程，建立開源程式碼掃描機制（後來演變為 Microsoft Open Source Programs Office 與 ClearlyDefined 專案）。
- 重寫版工具移除 ImageMaster 相依，改用自有實作，恢復下載。
啟示與反思
- 大型商軟廠商同樣面臨開源合規挑戰，建立 SBOM（軟體物料清單）與自動化掃描 是必要投資。
- 開源社群監督機制有效：單一開發者逆向分析即可揭露問題。
- 微軟後續擁抱開源（.NET Core、VS Code、WSL、GitHub 收購），此事件或為轉型催化劑之一。
給開發者的提醒
- 專案引入第三方程式庫時，務必審查授權相容性（GPL、LGPL、MIT、Apache 2.0 等）。
- 使用
FOSSA、Black Duck、Snyk、GitHub Dependabot 等工具自動掃描授權風險。
- 若專案必須保持專有，避免直接連結/編譯 GPL 程式碼；改用 LGPL/許可制庫、或以行程間通訊（CLI、HTTP、IPC）隔離 GPL 元件。
一個小工具的授權疏失，折射出軟體供應鏈合規的系統性挑戰，也推動了業界對開源治理的重視。
