Un bot envoie un dépôt piégé à 1774 étoiles : son auteur passe au crible 321 dépôts du classement tendances

Un bot Telegram qui rassemble chaque matin cinq dépôts GitHub tendance depuis trendshift.io a remonté « Microsoft Activation Scripts » le 26 septembre. Le projet affichait 1774 étoiles, une description soignée, des tags et le même bouton de résumé du README que les quatre dépôts voisins. C'était un piège. L'auteur du bot, qui en a parlé sur Habr, a ensuite analysé 321 dépôts du classement tendances et construit deux filtres censés repérer ce genre de projets en amont.

L'annonce de la publication ne précise pas ce que contient exactement le dépôt, ni comment fonctionnait la supercherie. La suite s'appuie sur ce que dit le texte et sur le contexte qui rend ce cas révélateur.

À quoi ressemblait le piège

Le fonctionnement du bot est simple. Trendshift.io répertorie les dépôts qui gagnent en visibilité sur GitHub. Le bot en prend cinq et les envoie dans Telegram avec un bouton. On clique, on obtient un résumé du README, on évalue l'idée et, parfois, on installe ce qui plaît. L'auteur lit ce fil tous les jours.

Ce format supprime le signal le plus important : le contraste. Quand cinq projets se ressemblent, on n'a guère envie de vérifier chacun séparément. D'autant que leur apparence inspire confiance : nombre d'étoiles, tags, description structurée. Le bot ne doute pas et ne signale rien. Il reformule le README, et le README est écrit par quelqu'un qui veut qu'on le croie.

Le nom n'a pas non plus été choisi au hasard. Les scripts d'activation de Windows et d'Office font partie des outils que l'on lance vite et avec des droits élevés, sans lire le code. Pour une contrefaçon, c'est un terrain idéal : l'utilisateur entre de lui-même dans une zone grise et vérifie moins la source. C'est notre déduction à partir du contexte, et non une affirmation de l'auteur de l'article original.

Pourquoi les tendances protègent mal

Les étoiles GitHub ne sont plus une métrique fiable depuis longtemps. On peut les gonfler, et la liste des tendances reflète la vitesse de progression, pas la qualité ni la sécurité. Un dépôt à 1774 étoiles paraît visible sans être tapageur, et n'éveille donc pas les soupçons.

Paramètres connus d'après le texte :

• source du fil : trendshift.io ;
• volume du fil : 5 dépôts par jour ;
• date de l'incident : 26 septembre ;
• dépôt : « Microsoft Activation Scripts », 1774 étoiles ;
• échantillon analysé : 321 dépôts du classement tendances ;
• résultat : deux filtres.

Les critères des filtres ne figurent pas dans le fragment disponible ; il faut se reporter à l'article complet. Un échantillon de 321 dépôts suffit en soi pour voir à quoi ressemble un projet tendance normal et en quoi une contrefaçon s'en distingue. Mais les conclusions restent celles d'un seul fil et d'une seule période.

Les résumés automatiques posent une question à part. Si un modèle de langage produit le résumé du README, il hérite de toutes les ficelles de l'auteur du document et ne vérifie pas ce qui se cache derrière. Le modèle condense un texte, pas une réputation. L'annonce ne dit pas comment le résumé est généré : il s'agit donc seulement d'une mise en garde pour ceux qui construisent des fils similaires.

Comment lire les tendances sans se faire piéger

Première règle : n'installer un projet issu des tendances qu'après vérification, et plus le script exige de droits, plus le contrôle doit être strict. Pour les scripts d'activation, les installateurs et tout ce qui réclame les droits administrateur, trois minutes suffisent. Regardez l'ancienneté du compte et du dépôt, l'historique des commits, le rapport entre étoiles, forks et issues. Comparez le nom avec celui du projet d'origine : les contrefaçons ont généralement un autre propriétaire et des statistiques suspectement lisses.

Deuxième règle : si vous construisez votre propre bot ou agent qui recommande du code, ajoutez des alertes dans le fil. Deux ou trois contrôles automatiques avant l'envoi suffisent, par exemple un pic soudain d'étoiles sur un dépôt à l'historique court, ou un propriétaire qui ne correspond pas à celui du projet connu. C'est précisément le type de filtres que l'auteur a tirés de ses 321 dépôts.

Troisième règle : exécutez le code non vérifié dans une machine virtuelle ou un conteneur, pas sur votre ordinateur de travail. Ce n'est pas une garantie, mais cela réduit fortement le coût d'une erreur.

L'histoire des 1774 étoiles est instructive parce qu'elle n'a rien d'exotique. Un fil du matin ordinaire, un bouton ordinaire, un intérêt ordinaire pour un dépôt récent. C'est justement pour cela qu'elle mérite d'être lue en entier.