Накрутка звёзд на GitHub: как проверить open source до внедрения

Звёзды это витрина

Вы выбираете CRM или систему записи с открытым кодом. У одного кандидата 30 тысяч звёзд, у другого 800. Выбор очевиден, пока не вспомнишь, что звезда стоит один клик, и такие клики продают оптом.

Пост канала Open Source от 19.10.2026 рассказал про starsift. Я проверил его по репозиторию, исходникам, объявлению GitHub и статье исследователей.

Что за starsift и что в нём внутри

Проверял 19.10.2026 репозиторий intikhab49/starsift. Файл LICENSE содержит MIT. Репозиторий создан 14.10.2026, не архивирован, 8 звёзд, 0 форков, 0 обращений. Два коммита, оба от 14.10.2026, релиз v0.1.0 того же дня, такой же пакет есть на PyPI. Восемь звёзд для проекта пяти дней от роду выглядят естественно.

Это консольная программа на Python 3.10 и новее без зависимостей: starsift owner/repo. Нужен любой токен GitHub без прав. Он берётся из GITHUB_TOKEN или GH_TOKEN, а если их нет, из команды gh auth token.

Я прочитал github.py и archive.py целиком, начало judge.py, а в cli.py искал сетевые вызовы и запуск команд. Токен уходит в заголовок только запросов к api.github.com. Запросы к архиву GH Archive (через публичный сервер play.clickhouse.com) и к ossinsight.io идут без токена, туда попадает имя проверяемого репозитория. Других команд, кроме gh auth token, я не нашёл. Сам я утилиту не запускал.

Как работает контрольная группа

Утилита берёт три выборки аккаунтов: свежие звёзды из ленты событий (последние 300 событий), случайные звёзды из архива и владельцев форков. К каждому аккаунту подбирается случайный, который в тот же час поставил звезду другому репозиторию. Это и есть контроль с совпадающим временем.

Сравниваются четыре признака: аккаунту меньше 30 дней, аккаунт старше, но пустой, аккаунт зарегистрирован в один день с тремя и более другими из выборки, аккаунт с тех пор удалён или заблокирован. Разницу проверяют критерием с p меньше 0,01 и минимальным отрывом в пунктах. Отдельно считаются общие звёзды: если 15% и больше из сотни звёздочётов поставили звезду одному репозиторию меньше чем с 5000 звёзд, это след фермы.

Что изменил GitHub и что нашли исследователи

Объявление GitHub от 30.06.2026: списки звёздочётов и наблюдателей станут доступны только админам и коллабораторам, страницы /stargazers закроются. Причина по тексту: списки использовали для сбора данных ради спама. В объявлении сказано «скоро» без даты, в документации API написано «с июля 2026». Запрос с токеном я не проверял и опираюсь на эти два текста.

4 сентября GitHub добавил историю звёзд без имён: по документации это GET /repos/{owner}/{repo}/stargazers/history, звёзды по неделям и дням. Для репозитория starsift он ответил мне без авторизации. Для других проверяйте сами.

Исследование arXiv 2412.13459 (He, Yang, Burckhardt, Kapravelos, Vasilescu, Kästner) вышло в декабре 2024 как «4.5 Million (Suspected) Fake Stars», во второй версии от 6.09.2025 стало «Six Million». По тексту второй версии: 6,0 млн подозрительных звёзд и 18 617 репозиториев с кампаниями накрутки. В июле 2024 такие кампании были у 16,66% репозиториев с 50 и больше звёзд, а в общем числе звёзд за месяц фальшивые составляли не больше 1%. К январю 2025 удалено 90,42% помеченных репозиториев, у случайных 5,03%. Эффект от накрутки держится меньше двух месяцев. Даже при точности около 99% это около 180 ошибочно помеченных репозиториев, поэтому авторы просят не называть конкретные.

Девять признаков живого проекта

1. Дата последнего релиза и наличие тегов. Релиз 2020 года при коммитах 2025 года, как у Howdy, я разбирал в статье про вход по лицу: версия 3.0.0 записана в журнале изменений, тега нет.

2. Коммиты в основной ветке за 90 дней.

3. Сколько разных людей пишет код. Если автор один, проект исчезнет вместе с его интересом. Это и есть автобус-фактор.

4. Открытые обращения и ответы на них: отвечают ли, закрывают ли, висят ли запросы на изменения по полгода.

5. Лицензия по файлу LICENSE, а не по значку. Spacedrive до 24.03.2026 выходил под AGPL-3.0, сейчас Apache-2.0, и проект в альфе, как в моём разборе.

6. Подписи: у подписанных коммитов и тегов на GitHub стоит отметка Verified, у релизов есть описание изменений.

7. Зависимость от одной компании. Midday закрывали после перехода команды в другую фирму, детали в статье.

8. Безопасность: файл SECURITY.md, раздел Security advisories, адрес для сообщений об уязвимостях.

9. Пакеты в реестрах (PyPI, npm, Docker): имя и версия совпадают с репозиторием, дата не расходится с релизом. Релиз starsift публикуется на PyPI через GitHub-воркфлоу без хранимого токена, это записано в его release.yml.

Проект вырос на тысячи звёзд за сутки

Это повод присмотреться, и вывод по нему одному делать рано: README starsift приводит репозиторий с 200 тысячами звёзд за десять дней, у которого аккаунты выглядели обычными. Вирусный рост бывает честным.

Откройте историю звёзд по дням. Сверьте, выросли ли вместе со звёздами форки, обращения, установки из реестров. Возьмите выборку звёздочётов: возраст, пустые профили, регистрации одной датой. Это ручной вариант того, что делает starsift. Называть проект фальшивым по одному признаку нельзя.

Что важно учесть

Проверка у автора starsift: на 50 репозиториях из данных исследования из 25 подозрительных 21 получил «сигнатуру фермы», 4 остались без данных, из 25 неподозрительных 23 чисты. Метки исследования это подозрения, автор сам пишет, что измеряет совпадение с ними. Независимой проверки нет.

По README: проверяется только выбранный период, скрытые GitHub аккаунты не видны, старые активные аккаунты ферм выглядят живыми, вердикт остаётся уликой. Проекту пять дней, автор один. Результат годится как повод задать вопрос.

Что можно сделать уже сейчас

Заведите таблицу кандидатов с девятью пунктами и датой проверки. Звёзд в ней нет.

Для рискованного выбора прогоните starsift с токеном без прав и сравните с таблицей.

Раз в квартал смотрите дату последнего коммита у того, что уже внедрено. Подборка решений есть в каталоге open source, а проверку выбранного проекта и внедрение я делаю в рамках предложения «Open source под ключ».

Частые вопросы

Нужно ли платить за starsift?

Нет, лицензия MIT. Нужен токен GitHub, по README запуск тратит мало лимита.

Можно ли доверять проекту с малым числом звёзд?

Можно, если по девяти признакам он живой. Популярность и качество связаны слабо.

Коротко о главном

Я сверяю лицензию по файлу LICENSE, релизы, коммиты и людей в репозитории, число звёзд в этой сверке не участвует. Starsift полезен как второе мнение, но ему пять дней и независимой проверки у него нет.

Если хотите, чтобы я проверил проект, который вы собрались внедрять, напишите мне в Telegram кодовое слово «ЗВЁЗДЫ».