近期，GitHub平台上的星标功能成为了安全研究人员关注的焦点。他们发现，不少恶意软件仓库通过人为操作，大量增加星标数量，以此试图迷惑开发者和组织。
为深入探究这一现象，一个研究团队对GitHub上数十亿条活动数据进行了详尽分析。他们开发了一款名为“StarScout”的工具，专门用于检测那些星标数量异常增长的仓库。通过这一工具，研究团队揭示了2019年至2024年间，共有15835个仓库存在虚增星标的行为。
值得注意的是，即便在剔除虚假账户后，这些虚增的星标依然对GitHub社区产生了不小的负面影响。从2024年开始，这一现象更是愈演愈烈。数据显示，截至当年7月，在拥有超过50个星标的仓库中，约有16%的仓库存在虚增星标的行为。
更令人担忧的是，这些虚增星标的仓库中，超过70%涉及钓鱼诈骗或伪装恶意软件，直接对软件供应链的安全构成了严重威胁。这意味着，开发者在依赖星标数量来判断仓库质量和可信度时，可能会误入歧途，从而面临潜在的安全风险。
这项研究不仅揭示了开源社区中存在的安全隐患，也提醒了广大开发者要保持警惕。在寻找高质量、可靠的仓库时，开发者不能仅凭星标数量来做决定，而应该综合考虑项目的多个方面，如代码质量、社区活跃度、安全记录等，以更全面地评估项目的价值。
