Over 3.1 million fake "stars" on GitHub projects used to boost rankings (Рубрика Humor)

Прочитал сегодня статью про накручивание рейтинга в GitHub. По-факту, здесь примерно та же проблема, что в других соцсетях, где популярност, лайики и ззвезды несут своим обладателям дополнительную ценность. В GitHub такой ценностью является то, что звезды воспринимаются как proxy метрика популярности проекта в коммьюнити и его дальнейшие перспективы. В середине декабря появилось исследование от Carnegie Mellon University, Socket Inc, North Carolina State University на эту тему. В нем ученые сначала разработали интструмент 'StarScout', который проанализировал 20 ТБ данных GitHub и первоначально обнаружил 4,5 миллиона подозрительных звезд от 1,32 миллиона аккаунтов. После фильтрации для повышения точности, окончательный подсчет показал 3,1 миллиона поддельных звезд от 278 000 аккаунтов в 15 835 репозиториях. Результаты исследования показывают, что проблема достигла пика в 2024 году, когда примерно 15,8% репозиториев, имевших более 50 звезд в июле 2024 года, были вовлечены в эти обманные практики. Эффективность инструмента обнаружения StarScout была подтверждена тем, что к октябрю 2024 года GitHub удалил 91% выявленных подозрительных репозиториев и 62% неаутентичных аккаунтов.

Вот список находок авторов исследование

Research Question 1: How prevalent are fake stars in GitHub?

1. Fraudulent starring activities start to gain momentum in 2022 and have been surging since 2024.
2. Even a small portion of fake stargazers can greatly distort stars as a repository popularity signal.
3. Only a few repositories with fake star campaigns are published in package registries such as npm and PyPI. Even fewer are widely adopted. Research Question 2: What are the characteristics of GitHub repositories with fake star campaigns?
4. Most repositories with fake star campaigns are short-lived (only a few days of activity).
5. The majority of GitHub repositories with fake star campaigns seem related to pirated software, game cheats, and cryptocurrency bots. However, it is likely that they are actually malware clickbaits. Research Question 3: What are the characteristics of GitHub accounts that participated in fake star campaigns?
6. Compared to average GitHub users, accounts in fake star campaigns are slightly more likely to have an empty profile, but the differences are relatively small.
7. At least 60% of the accounts that participated in fake star campaigns have trivial activity patterns. Research Question 3: To what extent are fake stars effective in promoting the target GitHub repositories?
8. Buying fake stars may help a repository gain real attention in the short-term future (i.e., less than two months), but the effect is 3–4x smaller compared to real stars; it has a negative effect in the long term. В итоге, имеем вывод, что звезды - это ненадежный сигнал для тех, кто практикует использование или контрибьют в open-source. Требуется использовать и другие сигналы, например из OpenSSF Scorecard, для которой есть отдельный whitepaper.

#Software #Management