4.5 Million (Suspected) Fake Stars in GitHub: A Growing Spiral of Popularity Contests, Scams, and Malware

GitHub 是事实上的开源软件开发平台，提供了一套类似社交媒体的功能来标示高质量的仓库。其中，星标数量是最广泛使用的受欢迎度指标，但也存在被人为虚增（即造假）的风险，这降低了其作为决策信号的价值，并对所有 GitHub 用户构成安全威胁。在本文中，我们对 GitHub 上的假星标进行了系统性、全球性和纵向的测量研究。为此，我们构建了 StarScout，这是一种可扩展的工具，能够检测整个 GitHub 元数据中的异常星标行为（即低活跃度和同步行为）。通过分析使用 StarScout 收集的数据，我们发现：（1）自 2024 年以来，与假星标相关的活动迅速增加；（2）假星标用户的特征与普通 GitHub 用户没有显著区别，但许多用户表现出高度异常的活动模式；（3）大多数假星标用于推广短命的恶意软件仓库，这些仓库伪装成盗版软件、游戏作弊工具或加密货币机器人；（4）一些仓库可能为了增长黑客而获取假星标，但假星标仅在短期内（即不到两个月）有推广效果，长期来看则成为负担。我们的研究对平台管理员、开源从业者和供应链安全研究人员具有重要意义。

该论文旨在解决GitHub上假星标（fake stars）的问题，这些假星标可能人为地夸大了项目的受欢迎程度，降低了星标作为决策信号的价值，并对所有GitHub用户构成安全风险。这并不是一个全新的问题，但论文提供了一个系统性的、全球性的和纵向的研究。

论文的关键思路是构建一个名为StarScout的可扩展工具，用于检测整个GitHub元数据中的异常星标行为（如低活动度和同步行为）。通过分析StarScout收集的数据，研究者能够识别出假星标的相关模式和特征。这一方法的新颖之处在于其大规模和系统性，能够全面评估GitHub上的假星标问题。

论文的其他亮点包括：1) 发现自2024年以来，与假星标相关的活动迅速增加；2) 假星标用户的个人资料特征与普通GitHub用户相似，但活动模式异常；3) 大多数假星标用于推广短命的恶意软件仓库，这些仓库伪装成盗版软件、游戏作弊或加密货币机器人；4) 虽然一些仓库可能为了增长黑客而获得假星标，但这种效果在短期内（不到两个月）有效，长期来看则成为负担。此外，论文提供了详细的实验设计和数据分析方法。

最近在这个领域中，还有一些相关的研究，例如：1) "Detecting Fake User Activities on Social Coding Platforms"，探讨了社交编码平台上的虚假用户活动；2) "An Empirical Study on the Impact of Fake Stars on Software Repositories"，研究了假星标对软件仓库的影响；3) "Security Implications of Fake Stars in Open-Source Ecosystems"，分析了假星标对开源生态系统安全的影响。