我在GitHub 黑市买“水军”：一万颗star只要4000多元，人人都能“一夜爆火”

“说实在的，我的梦想就是拥有个几千 star 的 GitHub 项目。”有开发者说道。

虽然 GitHub star 数现在可能跟公众号的“阅读量”或者微博的“转发量”一样，是一种虚无飘渺的虚荣心指数，但不妨碍它成为开源社区中展示普遍认同的一大重要指标。项目 star 数也会影响很多重大的高风险决策，包括选择哪些项目、为哪些初创项目注资，甚至选择哪家企业入职等。

但是，现在人们已经不相信 star 数这个指标了。“GitHub 项目的 star 数我倒是不在乎，因为这东西太容易造假了，也代表不了项目的品质。我就不会去跟别人说给我的项目点 star 哦，这种行为在我看来真的 low 得不能再 low 了。”有开发者说道。

事实上，这位开发者说得并没有错。我们总会在 GitHub 上发现一些迅速蹿红的开源项目，刚刚开放，每周就能拿下几百 star。真有那么优秀吗？似乎好得令人难以置信了。还有一些新项目刚上架几天就 star 数猛增，这可是知名老项目在发布新版本或者其他重大公告才能拥有的待遇。

最近，开源编排平台 Dagster 分享了在抽查一部分代码仓库后，发现了的几位“嫌疑人”，而在 Dagster 披露后，一些账户已经被删除。

Dagster 的几位研究人员亲身体验了购买 star 给项目带来的优越。Dagster 建立了一个虚构的代码仓库（frasermarlow/tap-bls）并买了一堆 star。然后，Dagster 为该账户设计了个人资料文件，并使用 GitHub REST API（通过 pygithub）和 GitHub Archive 数据库展开了一系列测试。

Dagster 的代码仓库一夜之间就火了……

跟它一起“蹿红”的项目还有不少。

• Baddhi Shop，低成本伪造各种线上公开影响力指标的专业“服务商”。最低 64 美元，你就能买到 1000 颗 GitHub star。

• GitHub24，由 Möller und Ringauf GbR 提供的服务，价格比 Baddhi Shop 要高得多（每 star 0.85 欧元）。

有一说一，这帮家伙还挺讲“诚信经营”：Dagster 买的 star 很快就到账了。GitHub24 在 48 小时内就交付了 100 颗 star。在此之前，Dagster 的代码仓库只有 3 颗 star。由于 Baddhi Shop 的价格更便宜，所以 Dagster 在这个渠道上订购了 500 颗 star，而一周之内对方同样成功履约。

不过，Dagster 表示“一分钱一分货”：一个月后 GitHub24 交付的 24 颗 star 都还在，但纯伪造的 Baddhi Shopstar 只剩下四分之三，那四分之一可能是被 GitHub 的完整性团队撤掉了。

“我的前雇主在他们的工作描述和招聘推介中使用了 GitHub stars。他们定期鼓励员工去 GitHub 上为公司的存储库加注星标。在全体会议上，GitHub stars 是他们报告的重点工作之一：我们在 GitHub stars 中超过了 X（鼓掌）。”网友“penguin_booze”爆料道。

当 stars 数成为企业关注的重点时，压力就给到了员工或者求职者。“能在 GitHub 上拿到三位数的 Star 的本科生至少进 BAT 毫无压力。”有网友称。这也导致了国内前几年开源项目刷 star 泛滥。

当 star 造假越来越多，有些开发者在评价开源项目的时候也会越来越少地真正在意 star 数。“就我个人而言，我从不看 star 数，因为即使这是合理的，它也没有让我比从 repo 中看到其它更有用的东西。”网友“ziml7”说道。

ziml7 表示，“我倾向于检查最早和最新提交之间的时间差异，这可以让我确定这不是一个某人花了几周时间编写代码、放在 GitHub 上，然后就被遗忘了的项目。我也会检查 issues。我会寻找比正在显示更多的、已经解决的 issues ，但我会快速浏览下来大致了解有多少是真正有意义的 issues 。我还从自述文件和文档中获得线索。如果这些 issues 存在就容易通过（检测），但如果它们不仅存在，并且既清晰又详细，那肯定对我的判断会有帮助。

但 ziml7 的观点也得到了一些质疑。网友“imadj”表示，许多维护人员只是将问题隐藏起来了，并没有真正解决。许多人以 0 个未解决的 issues 而自豪，好像这意味着什么。但如果他们会玩这个游戏，那么世界上任何软件都可以有 0 个 issues。“因此，除非您真的精通该项目并花了一些时间关注它，否则 star 数实际上可能是判断项目质量和声誉的更好指标。”

另外，在评估几个不同的 repos 以选择特定工具工作时，一些开发者会用 star 数进行判断。“如果其中一个 repo 有更多的 star，我在选择时会仔细权衡。提交的新鲜度绝对重要，但对我来说，有许多人加注星标这一事实表明，这个 repo 是吸引人眼球的和活跃的。”网友“cdiamand”表示。

对于 ziml7 提出的查看日期，也有开发者表示反对：“提交日期可以任意更改。”

网友“debarshri”指出，在评估 OSS 项目时，关键指标是社区活动。“GitHub stars 是一个很弱的社区活动指标。首先，它可以被造假。此外，Stars 的操作门槛非常低，为该项目加星的人并不真的会使用它。”

“debarshri”认为有两个社区活动指标非常重要：GitHub issues 和 slack/discord/discourse 评论。“在我看来，GitHub issues 的一个关键是，如果 GitHub issues 主要由核心团队提出，那不是一个好兆头。您需要来自客户或用户而不是团队的大量问题。如果项目正在解决实际问题，这是一个很好的指标。Stars 操作门槛极低。松散的评论也一样，它应该既有分量又有新鲜感。

无论如何，可以看出，Star 数目前在一些开发者心中依然有很重的分量。我们还无法完全抛弃这个衡量指标。但现在，大多数 GitHub 的 star 分析工具和相关讨论文章都没有解决 star 数灌水的问题。那么，还有其它办法吗？

为了搞清楚 GitHub 上的 star 造假问题有多严重，Dagster 与垃圾邮件和滥用专家 Alana Glassco 一起深入研究了数据模式，分析了 GitHub Archive 数据库中的公共事件数据。

• GitHub star 卖家非常小心谨慎，而且会主动回避检测，所以很难根据名称、个人简介等直观特征对其出做分类。

• 标记及时性。为了避免被发现，卖家会不断调整自己的行动策略。因此，标记数据不仅难以获得，而且就在模型训练的过程中，这些数据内容可能就已经过时。

注：检测工作中，经常会将机器学习与启发式方法结合使用来识别恶意行为者，本次研究最终采用了启发式的检测思路。

• 一眼为假。卖家根本就不加掩饰，只要点开个人资料，就能马上看出这帮给 star 的用户根本不是真人。

• 用心造假。另一个群体则复杂得多，账户上有很多相当真实的活动，借此掩盖了其属于假账户的事实。

于是，团队最终通过两种相互独立的启发式方法来识别这两类群体。

在调查期间，Dagster 团队发现了很多一次性的个人资料：它们的存在就是为了伪造 GitHub 账户并为买家的 GitHub 代码仓库“加 star”。

• 创建时间为 2022 年或更晚

• 关注者 <=1

• 所关注者 <= 1

• 公开 gists == 0

• 公开 repos <=4

• 电子邮件、雇用信息、简历、博客和 Twitter 用户名均为空

• 投 star 日期 = 账户创建日期 = 账户更新日期

通过这种简单的“低活动”启发式方法，Dagster 团队检测到了大量可疑的虚假账户。这些账户只为同一组代码仓库投过 star，而且都是通过 GitHub API 来操作的。

这帮 GitHub“用户”明显具有共性

另一类假账户会更难发现，他们有比较真实的操作，比如个人资料照片、简历和贡献提交。相较前边一眼就能看出来的假账户，这类假账户的情况比较复杂。那么，应该如何做有效甄别呢？

Dagster 团队最终选择了无监督聚类技术，相当于是为每个账户都构建一组特征。

照理来说，正常用户的特征应该比较分散，就是说其每项特征都比较独特，不会遵循某个大聚类的整体趋势。但虚假用户的特征则有相似性，所以在可视化之后会聚集在一起。通过这种办法，应该能检测出目标账户是否属于可疑聚类。

举个更容易理解的例子：假定我们关注“活动日期”，GitHub 上的大多数用户并不会每天都有公开活动。如果某个账户每月有几天会使用 GitHub，而且具体日期跟另一个账户完全相同，甚至连分享的活动内容都差不多，那就表明这两个账户很可能是由相同的底层脚本在控制。根据这类账户的活动分享日期数（x 轴）和所交互的代码仓库总数（y 轴）可得出下图：

这里列出的就是 Dagster 那个“钓鱼”代码仓库的统计结果，项目得到的 star 几乎 100% 是假的：

Dagster 针对一组已知假 star 得到的启发图——几乎 100% 匹配

据实验团队所知，Dagster 项目应该没买过 star，所以他们用 Dagster 代码仓库做了对比。请注意左下角的小黄点，代表了少量误报账户（误报率 =0.17%）：

针对 dagster-io 代码仓库的启发图——匹配度接近 0%

最后，我们再来看看纯假和纯真之间的情况。这个开源代码仓库既有真 star，也包含大量疑似假 star，黄色部分标出了可疑的投 star 群体。

针对我们怀疑作弊的代码仓库制作的启发图——高亮显示部分为假 star

虽然这项技术挺有意思，但实际表现还不足以对假账户做高置信度判断，还需要再做改进。

初步通过直觉完成数据挖掘之后，Dagster 团队又发现了另一种模式。虽然这些复杂的假账户都会以逼真的方式做交互，但这类假账户往往只跟少部分代码仓库互动。从本质上讲，各个假账户似乎都属于整体“可疑代码仓库”的一个子集。

• 首先，列出所有曾给可疑代码仓库投过 star 的用户。

• 之后，根据与该组内其他用户的高度重叠性，确定出一组潜在的可疑代码仓库。注意，因为这些用户初步入选的理由是给同一个代码仓库投过 star，所以如果它们同样也为另一代码仓库投过 star，则代表值得怀疑。（但仅仅是值得怀疑，正常情况下也存在这种广泛的投 star 重叠，所以下面的附加步骤才格外重要！）

• 最后，要找出活动水平相对较低的账户，挑出其中绝大多数活动都仅仅指向之前确定的可疑代码仓库、且缺乏其他合法活动的账户，这些就是认定的假账户。

在对已知假 star 做这一启发测试时，虽然计算量很大，但假账户的检测效果确实很好，准确率高达 98%、召回率为 85%。那么，这种方法在真实代码仓库中表现如何？

将这两种方法结合起来，实验团队能够更全面地了解给定 GitHub 代码仓库中的可疑投 star 和相应召回率：

脚注：受计算成本的限制，实验团队在 BigQuery 上进行的 GitHub Archive 分析仅限从 2022 年 1 月 1 日起的得 star。对于 GitHub Archive 分析，团队使用了另一种略有不同的方法来识别 GitHub API 分析中的“低活动”可疑账户。这些账户与通过聚类方法识别出的其他可疑账户相加，就得到了疑似假 star 的总数。

如果大家也想用这样的逻辑分析其他 GitHub 代码仓库，可点击下面链接：https://github.com/dagster-io/fake-star-detector

其中，简单启发式算法是用 Python 实现的，只需要一个 GitHub 账户加访问令牌即可使用；无监督聚类方法则是用 dbt 项目实现的，需要 Google Cloud BigQuery 账户才能运行。请注意，用后者方式检测大型代码仓库可能会带来高昂的成本。

幸运的是，根据 Dagster 团队的研究，从投入产出的情况来看，买 star 行为在 GitHub 上还不是那么普遍，这也体现出开源社区积极向上的整体价值观。开源社区的长期发展还需要每个开发者的努力。

参考链接：

https://dagster.io/blog/fake-stars

https://news.ycombinator.com/item?id=35207020

📍 Base 北京的同学看过来！3 月 24 日 阿里云瑶池数据库峰会将在北京落地。你可以现场聆听国内外产学研大咖讲述云数据库的关键趋势和技术方向，最新思考和最佳实践；还可以体验云原生数据库核心产品技术和行业方案，与大家共同探讨云原生数据库的无限可能。

🔍机会难得，扫描下方二维码，立即报名，我们现场见！