Бот прислал репозиторий-ловушку с 1774 звёздами: автор разобрал 321 репо из трендов

Telegram-бот, который каждое утро собирает пять трендовых репозиториев GitHub с trendshift.io, 26 сентября принёс в ленту «Microsoft Activation Scripts». У проекта было 1774 звезды, аккуратное описание, теги и та же кнопка с выжимкой README, что и у четырёх соседних репозиториев. Это была ловушка. Автор бота, написавший об этом на Habr, после инцидента разобрал 321 репозиторий из трендов и собрал два фильтра, которые должны ловить такие проекты заранее.

В анонсе публикации не раскрыто, что именно внутри репозитория и как работал обман. Дальше речь о том, что известно из текста, и о контексте, который делает случай показательным.

Как выглядела ловушка

Схема у бота простая. Trendshift.io показывает репозитории, которые набирают внимание на GitHub. Бот берёт пять штук и отправляет в Telegram с кнопкой. Нажимаешь, получаешь выжимку README, разбираешь идею, иногда ставишь то, что понравилось. Автор читает эту ленту каждый день.

Такой формат убирает самый важный сигнал: контраст. Когда пять проектов выглядят одинаково, проверять каждый по отдельности лень. Тем более что вид у них вполне доверительный: цифра звёзд, теги, структурированное описание. Бот не сомневается и ничего не помечает. Он пересказывает README, а README пишет тот, кто хочет, чтобы ему поверили.

Название тоже подобрано не случайно. Скрипты активации Windows и Office относятся к тем инструментам, которые люди запускают быстро и с повышенными правами, не вчитываясь в код. Для подделки это удобная среда: пользователь сам идёт в серую зону и меньше склонен проверять источник. Это наш вывод из контекста, а не утверждение автора оригинала.

Почему тренды плохо защищают

Звёзды на GitHub давно перестали быть надёжной метрикой. Их можно накрутить, а список трендов отражает скорость прироста, а не качество или безопасность. Репозиторий с 1774 звёздами при этом выглядит заметным, но не громким, поэтому не вызывает подозрений.

Параметры, которые известны из текста:

• источник ленты: trendshift.io;
• объём ленты: 5 репозиториев в день;
• дата инцидента: 26 сентября;
• репозиторий: «Microsoft Activation Scripts», 1774 звезды;
• выборка для разбора: 321 репозиторий из трендов;
• итог: два фильтра.

Сами критерии фильтров в доступном фрагменте не приведены, их нужно смотреть в полной статье. Выборка в 321 репозиторий сама по себе достаточна, чтобы увидеть, как выглядит нормальный трендовый проект и чем от него отличается подделка. Но выводы по ней остаются выводами по одной ленте и одному периоду.

Отдельный вопрос про автоматические пересказы. Если выжимку README делает языковая модель, она наследует все приёмы автора документа и не проверяет, что за ним стоит. Модель сжимает текст, а не репутацию. В анонсе не сказано, как именно устроена выжимка, поэтому это лишь предупреждение для тех, кто строит похожие ленты.

Как читать тренды без потерь

Первое правило: ставить из тренда нужно только после проверки, и чем выше права у скрипта, тем строже проверка. Для скриптов активации, установщиков и всего, что просит админа, достаточно трёх минут. Посмотрите возраст аккаунта и репозитория, историю коммитов, соотношение звёзд, форков и issues. Сравните название с оригинальным проектом: у подделок обычно другой владелец и подозрительно ровная статистика.

Второе: если вы строите собственного бота или агента, который рекомендует код, добавьте в ленту предупреждающие метки. Хватит двух-трёх автоматических проверок до отправки, например резкого скачка звёзд при короткой истории репозитория или несовпадения владельца с известным проектом. Именно такого рода фильтры автор вывел из своих 321 репозитория.

Третье: запускайте непроверенный код в виртуальной машине или контейнере, а не на рабочем ноутбуке. Это не гарантия, но сильно снижает цену ошибки.

История с 1774 звёздами хороша тем, что ничего экзотического в ней нет. Обычная утренняя лента, обычная кнопка, обычный интерес к свежему репозиторию. Именно поэтому её стоит прочитать целиком.