在开源软件的世界里，GitHub无疑是最重要的平台之一。它不仅是一个代码托管平台，也是一个社交网络，允许开发者通过“点赞”（即加星）来表达对某个项目的喜爱和支持，“星标”（Star）则成为了衡量项目受欢迎程度的重要指标。
然而，在这看似繁荣的星标文化背后，却隐藏着一个不为人知的秘密——虚假星标（Fake Stars）和“刷星”现象。近日，美国卡内基梅隆大学和北卡罗来纳州立大学的研究揭示了GitHub上惊人的虚假星标现象：研究团队开发了一个名为StarScout的工具，通过对GitHub历史数据的分析，发现了超过450万次疑似虚假星标行为，涉及15,835个仓库和27.8万个账户。
4.5 Million (Suspected) Fake Stars in GitHub论文链接：https://arxiv.org/abs/2412.13459一，虚假星标的原因：从“增长黑客”到恶意推广
为什么有人会刷星？背后的动机多种多样：
-
🌟增长黑客(Growth hacker)：一些初创公司或个人开发者希望通过刷星来提高项目的曝光率，吸引更多用户和投资者。毕竟，星标数量常常被视为项目成功的重要指标。
-
🌈简历造假：一些开发者为了在求职中脱颖而出，可能会通过刷星来美化自己的GitHub个人资料，制造出“受欢迎”的假象。
-
🚀恶意推广：最令人担忧的是，虚假星标被用于推广恶意软件。通过刷星，恶意仓库可以迅速登上GitHub的“热门”榜单，吸引不明真相的用户下载并执行恶意代码。
刷星供应商、成本和交期
二，虚假星标的检测：StarScout如何识别“刷星”行为？
为了应对虚假星标问题，研究团队开发了StarScout工具，基于以下原理识别虚假星标，检测“刷星”行为：
-
💖 低活跃度账户：分析账户的行为模式，如果一个账户几乎只进行加星操作而不做其他有意义的事情，则被认为是可疑的。
-
✨ 多账户同时对同一账户批量刷星：检查多个账户是否在同一时间对同一仓库进行了大量加星操作，这通常是批量生成虚假星标的特征。
-
🎯 异常峰值：识别那些在短时间内突然获得大量星标的仓库，特别是当这些星标来自大量具有相似特征的新创建账户时。
为了提高准确性，StarScout还会执行后处理步骤，排除那些因为偶然性而获得虚假星标的知名仓库，并专注于那些真正实施了虚假星标运动的仓库。最终，StarScout能够从数以百万计的数据点中进一步确定了 15,835 个存在虚假星标活动的仓库，以及与之对应的 310 万个虚假星标和 27.8 万个相关账户。
三，虚假星标的影响：短期有效，长期有害
那么，刷星真的能帮助项目获得更多的真实关注吗？研究团队通过回归模型分析了虚假星标对项目长期发展的影响，得出了以下结论：
-
🌐 短期效果：虚假星标在短期内确实能够吸引一些真实用户的关注。在刷星后的前两个月，虚假星标对真实星标的增长有一定的促进作用，但效果远不如真实星标。
-
🎯 长期影响：然而，随着时间的推移，虚假星标的负面影响逐渐显现。刷星行为不仅无法带来持续的关注，反而会让项目失去用户的信任，导致真实星标的增长放缓。
换句话说，刷星虽然能在短期内制造“繁荣”的假象，但从长远来看，它只会损害项目的声誉和发展。
四，未来的应对之道：从平台到开发者
面对虚假星标问题，GitHub平台、开源开发者以及研究人员都需要采取行动，共同维护开源生态的健康发展。
-
👉 平台改进：GitHub可以考虑设计更复杂的流行度指标，而不仅仅是简单的星标数量。例如，可以引入基于用户活跃度、贡献质量等维度的加权指标，减少虚假星标的影响。
-
📒 开发者警惕：开源开发者应避免通过刷星来“增长黑客”，因为这种行为不仅无法带来真正的用户，还可能损害项目的长期发展。相反，开发者应专注于提高项目的实际质量和用户体验。
-
🌐 持续研究：虚假星标问题只是开源生态中众多安全威胁的一个缩影。随着软件供应链攻击的日益复杂化，研究人员需要持续关注开源平台上的欺诈和恶意活动，开发更有效的检测和防御工具。
五，结语：虚假星标的警示
虚假星标问题不仅暴露了GitHub平台在流行度指标设计上的漏洞，也提醒我们，开源生态的健康发展需要全社会的共同努力。作为开发者，我们应警惕虚假星标的诱惑，专注于提升项目的实际价值；作为用户，我们应学会辨别项目的真实质量，而不仅仅依赖于星标数量。
未来，随着技术的进步和平台的改进，虚假星标问题有望得到有效遏制。但在此之前，我们每个人都应保持警惕，共同维护开源世界的公平与安全。
参考文献：
Hao He, Haoqin Yang, Philipp Burckhardt, Alexandros Kapravelos, Bogdan Vasilescu, Christian Kastner. "4.5 Million (Suspected) Fake Stars in GitHub: A Growing Spiral of Popularity Contests, Scams, and Malware." Carnegie Mellon University, 2024.滑动查看更多
如果你有更好的文章，欢迎投稿！
稿件接收邮箱：nami.liu@pasuntech.com
更多精彩内容请关注“算力魔方®”！
