phantomstars

الكشف الآلي وتتبّع التفاعل المزوّر على GitHub

مشروع من JS Labs — جزء من مبادرة AI Slop Intelligence.
يعمل يوميًا. يقيّم كل حساب مشبوه. يكتشف حملات البوتات المنسقة.
يفتح القضايا مباشرة على المستودعات المخترقة ليتمكن المشرفون من اتخاذ الإجراء.

ادعم هذا المشروع

BTC   3QjWqhQbHdHgWeYHTpmorP8Pe1wgDjJy54
ETH   0x5851e6145F4773d1585b8686095FB16E368a4dA1
ZEC   t1KSR5YkNPbjqRSCoLKo5AddFWdm9Kzxh1B

لماذا وُجد هذا المشروع

نجوم GitHub هي إشارة ثقة. وهي الطريقة التي يقرر بها المطورون ما يقيّمونه، وما يعتمدون عليه، وما يوصون به. وهذه الإشارة تُفسَد بشكل منهجي.

خلال طفرة الذكاء الاصطناعي في 2024-2026، ظهرت صناعة كاملة من مزارع البوتات لتصنيع المصداقية لمستودعات منخفضة الجودة وغالبًا خبيثة. مشروع يحصد 800 نجمة خلال 48 ساعة يبدو شرعيًا لمطوّر يمسح نتائج البحث. هذا هو بيت القصيد. الهدف من التفاعل المزوّر ليس النجوم نفسها؛ بل الدليل الاجتماعي الذي تنتجه تلك النجوم، والقرارات اللاحقة التي يؤثر عليها ذلك الدليل الاجتماعي.

النمط قابل للتمييز. حسابات أُنشئت في الأسبوع نفسه، بلا سيرة ذاتية، بلا متابعين، بلا مستودعات أصلية، تمنح النجوم لنفس المستودعات الخمسة عشر خلال نافذة زمنية من ساعتين. ليست حملة واحدة، بل عشرات تعمل في الوقت نفسه، كل يوم، عبر آلاف الحسابات. تُظهر البيانات مستودعات يكون فيها 185 من أصل 185 من المتفاعلين بوتات. نسبة تزيّف 100%. مواضع كاملة في قوائم Trending مبنية على لا شيء.

phantomstars أُنشئ لأن هذه المشكلة قابلة للمعالجة. نسبة الإشارة إلى الضوضاء في واجهة GitHub العامة (API) لا تزال، في الوقت الحالي، مرتفعة بما يكفي لتترك الحملات المنسقة بصمات واضحة. يقرأ هذا المشروع تلك البصمات، وينشر البيانات الخام، ويُخطر مشرفي المستودعات المتأثرة مباشرة.

هذا جزء من العمل الأوسع لمبادرة AI Slop Intelligence في JS Labs، وهو بحث مستمر في آليات وتأثيرات قابلة للقياس للمحتوى منخفض الجودة المولّد بالذكاء الاصطناعي الذي يغمر النظم البيئية للمطورين. التفاعل المزوّر ليس قضية هامشية؛ إنه آلية التوزيع التي تُقدّم المحتوى الرديء أمام المستخدمين الحقيقيين.

ماذا يفعل

phantomstars يشغّل مهمة يومية في GitHub Actions تقوم بما يلي:

1. يستخرج بيانات صفحة GitHub Trending للمستودعات التي تحصد نجومًا اليوم
2. يستعلم من واجهة GitHub Search API عن مستودعات أُنشئت في آخر 7 أيام مع نشاط نجوم مفاجئ (النافذة الأوسع تلتقط الحملات متعددة الأيام التي تفوتها الفحوصات التي تغطي 24 ساعة فقط)
3. يُضيف مستودعات مرشحة إضافية من منشورات Reddit الأخيرة في r/osinttools و r/coolgithubprojects عن طريق استخراج روابط مستودعات GitHub من آخر يومين
4. يسحب أحداث التفاعل الأخيرة (النجوم والنسخ) عبر واجهة Events API (آخر 24 ساعة لكل مستودع)
5. يجلب الملف الشخصي الكامل لكل حساب متفاعل عبر GraphQL: تاريخ إنشاء الحساب، عدد المتابعين/المتابَعين، السيرة الذاتية، سجل المستودعات
6. يقيّم كل حساب وفق نموذج استدلالي مركّب: عمر الحساب، اكتمال الملف الشخصي، أنماط المستودعات، وسجل النشاط
7. يكتشف الحملات المنسقة باستخدام تجميع الطوابع الزمنية وخوارزمية union-find: مجموعات من الحسابات المشبوهة التي تفاعلت خلال نافذة زمنية من 3 ساعات
8. يطبّق قائمة السماح الخاصة بالإيجابيات الكاذبة قبل كتابة السجل، وحساب النسب على مستوى المستودع، ولوحات المعلومات، والإشعارات بحيث يعتمد كل مقياس مرئي على نفس المجموعة
9. يُلحق جميع المشبوهين بسجل JSONL للإلحاق فقط (append-only) ويُحفظ في هذا المستودع
10. ينشر خلاصة استخبارات لكل مستودع تُظهر أي المستودعات يتم استهدافها، وأي مصادر الاكتشاف عثرت عليها، وما إذا كانت نافذة Events API كاملة أم محدودة
11. يفتح قضايا GitHub مباشرة على المستودعات المستهدفة ليتمكن المشرفون من رؤية بيانات الحملة في متتبع القضايا الخاص بهم
12. يكتب تقرير فحص منسقًا إلى ملخص مهمة GitHub Actions

لا خوادم. لا قواعد بيانات. لا فاتورة للبنية التحتية.

الأسئلة الشائعة

هل يُخطر المستودع المستهدف؟

نعم. عندما تتجاوز نسبة التزيّف لمستودع 40% أو يتم اكتشاف حملة منسقة، يفتح phantomstars قضية مباشرة على ذلك المستودع. تحتوي القضية على جدول المشبوهين الكامل، وعضوية الحملة، والدرجات المركّبة، وتواريخ إنشاء الحسابات: كل ما يحتاجه المشرف للتحقيق والإبلاغ إلى GitHub.

إذا كانت القضايا معطّلة على المستودع المستهدف، يتم تخطي الإشعار بصمت ويُسجَّل في سجل الفحص.

هل يمكنني طلب فحص لمستودع محدد؟

نعم.

• للفحص العادي لمرة واحدة، قدّم مستودعًا بصيغة owner/repo وشغّل فحصًا مستهدفًا.
• لطلب تدقيق كامل لعمر المستودع، استخدم وضع التدقيق الكامل لمرة واحدة. وهو منفصل عن الفحص اليومي.

لماذا هذا التقسيم:

• نموذج الفحص العادي مصمم للتفاعل العام الأخير وبتكلفة تشغيل منخفضة.
• قد يتضمن التدقيق الكامل لعمر المستودع عشرات الآلاف من النجوم وآلاف النسخ على المستودعات الأكبر.
• هذا ممكن للتحقيق لمرة واحدة، لكنه مكلف للغاية وبطيء جدًا للمسار اليومي الافتراضي.
• لذلك تُنفَّذ طلبات التدقيق الكامل فقط في الوضع الصريح لمرة واحدة مع ضوابط أمان.

هل يمكنني الإبلاغ عن إيجابية كاذبة؟

نعم. إذا ظهر حسابك في data/suspects.jsonl وترى أن التصنيف غير صحيح، افتح قضية إيجابية كاذبة باستخدام القالب المقدم. تُراجع البلاغات يدويًا قبل أي إضافة إلى قائمة السماح. تُخزَّن قائمة السماح في data/allowlist.txt؛ الحسابات المدرجة هناك تُستبعَد من جميع الفحوصات المستقبلية ومن سجل المشبوهين.

ما هو معرف الحملة؟

معرف الحملة (مثل c-a3f9b2e1) هو بصمة سداسية عشرية حتمية من 8 أحرف مشتقة من تجزئة SHA-256 للمجموعة المرتبة من أسماء دخول الأعضاء في تلك الحملة. نفس مجموعة الحسابات ستنتج نفس معرف الحملة عبر عمليات فحص مستقلة، مما يتيح التتبع الطولي عبر الزمن. وهو ليس اسم مستودع، ولا اسم مستخدم، ولا أي معرف خارجي.

الاستقرار: المعرف ثابت ما دامت مجموعة أعضاء الحملة لم تتغير. إذا أُضيفت بوتات أو عُلّقت بين الفحوصات، يتغير المعرف لأن العضوية تغيرت. هذا متوقع ويعكس التغير الواقعي في تكوين مزارع البوتات.

هل يتحقق من تواريخ إنشاء الحسابات؟

نعم. يتم جلب تاريخ إنشاء كل حساب من واجهة GitHub GraphQL API (حقل createdAt) وتخزينه في كل سجل مشبوه كـ account_created_at. وهو أيضًا المدخل الأساسي لدرجة عمر الحساب، أقوى إشارة منفردة للحسابات المزوّرة. الحسابات التي أُنشئت خلال يومين من التفاعل تحصل على 1.0 استنادًا إلى العمر وحده.

ما مدى الثقة في النتائج؟

تحمل الدرجات الفردية معدلات إيجابية كاذبة ملحوظة. مطوّر جديد بملف شخصي ضئيل يحصل بشكل شرعي على 0.75+. يراعي المشروع ذلك باشتراط أدلة على مستوى الحملة قبل فتح القضايا؛ حساب مشبوه واحد لا يكفي. مجموعة منسقة من 40+ حسابًا، أُنشئت جميعها في الأسبوع نفسه، وكلها بدرجة 0.75+، وتتفاعل جميعها خلال 90 دقيقة، هي أمر مختلف تمامًا. هنا تصبح الثقة قابلة للتنفيذ.

البيانات احتمالية دائمًا. تذكر نصوص القضايا ذلك صراحةً. الهدف هو منح المشرفين الإشارة والأدلة الخام لتكوين حكمهم الخاص.

لوحة المعلومات المباشرة

أكثر المستودعات استهدافًا اليوم

نموذج التقييم

يحصل كل حساب على درجة اشتباه مركّبة (0.0 = نظيف، 1.0 = مزوّر على الأرجح) من أربع إشارات:

عتبات التصنيف:

اكتشاف الحملات

الحملة هي مجموعة من ≥ 4 حسابات مشبوهة تفاعلت جميعها مع نفس المستودع خلال نافذة زمنية من 3 ساعات. تستخدم الخوارزمية union-find لبناء المكونات المترابطة؛ الحسابات التي تفاعلت معًا داخل النافذة تُدمج، وأي مكوّن يتجاوز الحد الأدنى للحجم يُعلَّم كحملة منسقة.

معرفات الحملات هي بصمات SHA-256 ثابتة للمجموعة المرتبة من الأعضاء. نفس الحملة المكتشفة في أيام متتالية سيكون لها نفس المعرف ما دامت العضوية لم تتغير.

لماذا الحملات هي الإشارة الحقيقية: الدرجات الفردية تحمل معدلات إيجابية كاذبة ملحوظة. مطوّر جديد بملف شخصي ضئيل قد يحصل على 0.80 وحده. أربعون حسابًا جميعها بدرجة 0.75+، أُنشئت في الأسبوع نفسه، تمنح جميعها النجوم لنفس المستودع خلال 90 دقيقة، ليست مصادفة. إشارة الحملة هي حيث تصبح البيانات قابلة للتنفيذ: الفرق بين نقطة بيانات مشبوهة ودليل على عملية منسقة.

تنسيق البيانات

تُحفَظ جميع النتائج في data/suspects.jsonl وdata/repos.jsonl، سجل JSON واحد لكل سطر، بنمط الإلحاق فقط (append-only). يوفّر ملخص مهمة GitHub Actions (المرئي في واجهة Actions بعد كل تشغيل) تقريرًا منسقًا لكل عملية فحص.

suspects.jsonl — سجل واحد لكل حساب مُعلَّم في كل فحص:```json { "login": "user98432", "account_age_score": 0.9, "profile_score": 0.8, "repo_pattern_score": 0.8, "activity_score": 0.85, "composite": 0.842, "classification": "likely_fake", "campaign_id": "c-a3f9b2e1", "scan_date": "2026-05-17", "account_created_at": "2026-05-15", "target_repos": ["owner/repo-a", "owner/repo-b"] }

**repos.jsonl** — سجل واحد لكل مستودع مستهدف في كل فحص:```json
{
  "full_name": "owner/suspicious-repo",
  "total_scanned": 87,
  "likely_fake": 62,
  "suspicious": 18,
  "known_likely_fake": 27,
  "known_likely_fake_ratio": 0.310,
  "repeat_offenders": 11,
  "allowlisted_excluded": 3,
  "fakeness_ratio": 0.713,
  "classification": "likely_fake",
  "campaign_count": 3,
  "discovery_sources": ["github_search_recent", "reddit_osinttools"],
  "event_sample_complete": false,
  "scan_date": "2026-05-17"
}

أمثلة الاستعلام:```bash

All likely_fake accounts from today

jq 'select(.scan_date == "2026-05-17" and .classification == "likely_fake") | .login' data/suspects.jsonl

Accounts created in the last 3 days that were flagged

jq 'select(.account_created_at >= "2026-05-14") | [.login, .account_created_at, .classification] | @tsv' -r data/suspects.jsonl

Which repos were targeted today, sorted by fakeness ratio

jq 'select(.scan_date == "2026-05-17") | [.full_name, .fakeness_ratio, .likely_fake] | @tsv' -r data/repos.jsonl | sort -t$'''\t''' -k2 -rn

Repos with the highest recycled-bot share from previously seen likely_fake accounts

jq 'select(.scan_date == "2026-05-17") | [.full_name, .known_likely_fake_ratio, .repeat_offenders] | @tsv' -r data/repos.jsonl | sort -t$'''\t''' -k2 -rn

All members of a specific campaign

jq 'select(.campaign_id == "c-a3f9b2e1") | [.login, .account_created_at, .composite] | @tsv' -r data/suspects.jsonl

Repos a specific account targeted

jq 'select(.login == "user98432") | .target_repos[]' data/suspects.jsonl

High-confidence repos: fakeness ratio above 60%

jq 'select(.fakeness_ratio >= 0.6) | [.full_name, .fakeness_ratio, .campaign_count] | @tsv' -r data/repos.jsonl | sort -t$'\t' -k2 -rn

---

## الإعداد

### 1. قم بعمل Fork لهذا المستودع

نسختك (Fork) تملك البيانات. بعد كل تشغيل يومي، تُكتب النتائج إلى `data/suspects.jsonl` و `data/repos.jsonl` في نسختك.

### 2. أضِف سرّ PAT الخاص بـ GitHub

أنشئ **رمز وصول شخصي كلاسيكي** بالنطاقات التالية:
- `public_repo`: قراءة أحداث المستودعات العامة وقوائم النجوم (stargazers)، وإنشاء قضايا (issues) في المستودعات العامة
- `read:user`: جلب ملفات تعريف المستخدمين عبر GraphQL

**Settings → Secrets and variables → Actions → New repository secret** → أسمِه `GH_TOKEN`.

> `GITHUB_TOKEN` الافتراضي له حدود معدل مقيدة ولا يمكنه استدعاء نقطة نهاية GraphQL الخاصة بالمستخدم بكامل طاقته. يجب استخدام PAT.

### 3. تفعيل GitHub Actions

**Actions → Enable GitHub Actions** على نسختك. يعمل سير العمل يوميًا عند **07:00 بتوقيت المملكة المتحدة** باستخدام ساعة `Europe/London`:
- **06:00 UTC** خلال التوقيت الصيفي البريطاني
- **07:00 UTC** خلال توقيت غرينتش

لا حاجة إلى متغير بيئة إضافي للجدولة. يعمل cron في GitHub Actions بتوقيت UTC فقط، لذلك يُطلق سير العمل في كلتا الساعتين بتوقيت UTC ولا يستمر إلا عندما يكون التوقيت المحلي في لندن هو 07:00. يمكن التشغيل اليدوي عبر **Actions → Daily Phantom Stars Scan → Run workflow**.

بعد كل تشغيل، يظهر تقرير الفحص المنسق في **Actions → [run] → Summary**.

### 4. التشغيل محليًا```bash
git clone https://github.com/YOUR_USERNAME/phantomstars.git
cd phantomstars
python -m venv venv && source venv/bin/activate
pip install -e .
GH_TOKEN=ghp_your_token python -m phantomstars.main

للتشغيل المحلي المخصص بعد الإعداد:```bash GH_TOKEN=ghp_your_token python -m phantomstars.main

لفحص مستودع واحد بدلاً من مجموعة الاكتشاف العادية:```bash
PHANTOMSTARS_TARGET_REPO=owner/repo GH_TOKEN=ghp_your_token python -m phantomstars.main

طلبات لمرة واحدة

يمكن للمستخدمين طلب فحص مستودع لمرة واحدة بطريقتين:

1. افتح قالب المشكلة Repo Check Request وقدّم المستودع المستهدف مع العمق المطلوب.
2. استخدم Actions -> Daily Phantom Stars Scan -> Run workflow ويمكنك اختياريًا تعيين:
   • target_repo: owner/repo
   • request_depth: recent أو lifetime-request

السلوك الحالي:

• recent: يشغّل فحص التفاعل الأخير المستهدف فورًا.
• lifetime-request: يشغّل فحصًا مستهدفًا على مدى العمر الكامل عبر النجوم والتفريعات التاريخية لهذا المستودع فقط.
• يبقى الفحص المجدول يوميًا دون تغيير ويستمر في استخدام طريقة التفاعل الأخير.

ضوابط وضع كامل العمر:

• متاح فقط للطلبات المستهدفة الصريحة لمرة واحدة
• محكوم بحدود حجم المستودع المكوّنة قبل بدء الفحص
• أبطأ وأكثر استهلاكًا لواجهة برمجة التطبيقات من الفحص اليومي

بنية المشروع```

phantomstars/ ├── .github/ │ ├── workflows/daily-scan.yml # Runs daily at 07:00 Europe/London │ └── ISSUE_TEMPLATE/false_positive.yml ├── src/phantomstars/ │ ├── config.py # All constants, no argparse, no env parsing │ ├── models.py # Frozen dataclasses │ ├── github_client.py # REST + GraphQL, tenacity retries, rate-limit aware │ ├── heuristics.py # Per-user composite scoring engine │ ├── campaigns.py # Timestamp clustering + union-find │ ├── storage.py # JSONL append + query helpers │ ├── reporter.py # README dashboard injector │ ├── notifier.py # GitHub Issues notifier (files on targeted repos) │ └── main.py # Orchestration entry point ├── tests/ │ ├── conftest.py │ ├── test_heuristics.py │ └── test_campaigns.py ├── data/ │ ├── suspects.jsonl # Append-only account findings ledger │ ├── repos.jsonl # Append-only per-repo intelligence │ └── allowlist.txt # Accounts excluded from future scans └── pyproject.toml

---

## القيود وأنماط الفشل المعروفة

- **حد واجهة برمجة الأحداث:** حد أقصى 300 حدث حديث لكل مستودع. المستودعات التي تحصل على آلاف النجوم في يوم واحد تغطيتها جزئية.
- **علامة التغطية:** المستودعات التي تبلغ حد 300 حدث تُعلَّم كـ `capped` في التقارير ولوحات المعلومات؛ النسب في تلك المستودعات عينات متحفظة، وليست إحصائيات يوم كامل.
- **تأخر فهرس البحث:** فهرس البحث في GitHub متسق في النهاية. المستودعات التي أُنشئت قبل ثوانٍ من حدود الفحص قد لا يتم التقاطها.
- **انحراف الاستدلال:** مشغلو الروبوتات يتكيفون. قد تتطلب أوزان الدرجات ضبطًا دوريًا؛ اضبط الثوابت في `config.py`.
- **نتائج إيجابية خاطئة فردية:** مطور جديد بملف شخصي متناثر يسجل 0.75+ بشكل منفرد. العضوية في الحملة هي الإشارة عالية الثقة.
- **انحراف معرّف الحملة:** إذا تغيرت عضوية مزرعة روبوتات بين الفحوصات (تعليق روبوتات، إضافة روبوتات جديدة)، يتغير معرّف الحملة. يعكس هذا تطور الحملة الفعلي، وليس خطأ.
- **حدود المعدل:** 5,000 طلب واجهة برمجة تطبيقات/ساعة على رمز وصول شخصي موثّق. ضمن الحدود تمامًا للأحجام القياسية لصفحات الاتجاهات.
- **تعطيل المشكلات:** بعض المستودعات المستهدفة تعطّل المشكلات. يتم تخطي الإشعارات لتلك المستودعات بصمت.

---

## عملية النتيجة الإيجابية الخاطئة

إذا ظهر حسابك في `data/suspects.jsonl` وكنت تعتقد أنه صُنِّف بشكل غير صحيح:

1. ابحث عن مدخلاتك: `jq 'select(.login == "YOUR_LOGIN")' data/suspects.jsonl`
2. [افتح مشكلة نتيجة إيجابية خاطئة](../../issues/new?template=false_positive.yml) مع اسم الدخول والتصنيف وتاريخ الفحص والتفسير
3. تتم مراجعة التقارير يدويًا. تضاف النتائج الإيجابية الخاطئة المؤكدة إلى `data/allowlist.txt` وتُستبعد من جميع الفحوصات المستقبلية ونسب المستودعات وإشعارات المشكلات.

ملاحظة: فتح مشكلة لا يعدّل أو يزيل أي بيانات موجودة. سجل المشتبه بهم للإلحاق فقط. القائمة البيضاء تؤثر فقط على الفحوصات المستقبلية.

---

## المساهمة```bash
pip install -e ".[dev]"
python -m black .
python -m ruff check .
python -m mypy src
python -m pytest

يجب اجتياز جميع الاختبارات الأربعة قبل قبول طلب السحب (PR).

إخلاء مسؤولية

تقوم هذه الأداة بإجراء تحليل للقراءة فقط لبيانات GitHub العامة باستخدام واجهة برمجة تطبيقات GitHub الرسمية. وعندما يتم فتح قضايا (issues) على المستودعات المستهدفة، فإنها تحتوي على نتائج احتمالية ويتم وسمها بوضوح على أنها آلية. النتائج هي مؤشرات وليست اتهامات. النتائج الإيجابية الكاذبة موجودة ومتوقعة.

صُممت بالذكاء الاصطناعي كشريك برمجي، استجابةً لمشكلة بيئية نشأت جزئيًا بسبب الذكاء الاصطناعي.

الترخيص

Apache 2.0. انظر LICENSE

المؤلف

تم بناؤها بواسطة tg12 · GitHub

مشروع JS Labs · لوحات معلومات استخبارات هذر الذكاء الاصطناعي