tg12/phantomstarsDetección y seguimiento automatizados de interacciones falsas en GitHub — CI diaria, infraestructura cero
Detección y seguimiento automatizado de interacciones falsas en GitHub
Un proyecto de JS Labs —
parte de la iniciativa AI Slop Intelligence.
Se ejecuta cada día. Puntúa cada cuenta sospechosa. Detecta campañas coordinadas de bots.
Abre issues directamente en repositorios comprometidos para que los mantenedores puedan actuar.
Apoya este proyecto
BTC 3QjWqhQbHdHgWeYHTpmorP8Pe1wgDjJy54
ETH 0x5851e6145F4773d1585b8686095FB16E368a4dA1
ZEC t1KSR5YkNPbjqRSCoLKo5AddFWdm9Kzxh1B
Las estrellas de GitHub son una señal de confianza. Así es como los desarrolladores deciden qué evaluar, de qué depender y qué recomendar. Esa señal está siendo corrompida sistemáticamente.
Durante el auge de la IA de 2024-2026, surgió una industria de granjas de bots para fabricar credibilidad para repositorios de baja calidad, a menudo maliciosos. Un proyecto con 800 estrellas en 48 horas se lee como legítimo para un desarrollador que escanea resultados de búsqueda. Ese es el punto. El objetivo de las interacciones falsas no son las estrellas en sí mismas; es la prueba social que esas estrellas producen, y las decisiones posteriores que esa prueba social influye.
El patrón es identificable. Cuentas creadas la misma semana, sin biografía, sin seguidores, sin repositorios originales, dando estrella a los mismos 15 repositorios en un lapso de 2 horas. No una campaña, sino decenas ejecutándose simultáneamente, cada día, a través de miles de cuentas. Los datos muestran repositorios donde 185 de cada 185 interactuantes son bots. Una tasa de falsedad del 100%. Colocaciones enteras en tendencias construidas sobre nada.
phantomstars fue construido porque este problema es abordable. La relación señal-ruido en la API pública de GitHub es, por ahora, aún lo suficientemente alta como para que las campañas coordinadas dejen huellas claras. Este proyecto lee esas huellas, publica los datos sin procesar y notifica directamente a los mantenedores de repositorios afectados.
Esto es parte del trabajo más amplio de AI Slop Intelligence en JS Labs, una investigación en curso sobre la mecánica y los efectos medibles del contenido de baja calidad generado por IA que inunda los ecosistemas de desarrolladores. Las interacciones falsas no son un problema periférico. Es el mecanismo de distribución que pone el slop frente a usuarios reales.
phantomstars ejecuta un trabajo diario de GitHub Actions que:
r/osinttools y r/coolgithubprojects extrayendo enlaces de repositorios de GitHub de los últimos 2 díasSin servidores. Sin bases de datos. Sin factura de infraestructura.
Sí. Cuando la tasa de falsedad de un repositorio supera el 40% o se detecta una campaña coordinada, phantomstars abre un issue directamente en ese repositorio. El issue contiene la tabla completa de sospechosos, membresía de la campaña, puntuaciones compuestas y fechas de creación de cuentas: todo lo que un mantenedor necesita para investigar y reportar a GitHub.
Si los issues están deshabilitados en un repositorio atacado, la notificación se omite silenciosamente y se registra en el registro del escaneo.
Sí.
owner/repo y ejecuta un escaneo dirigido.Por qué la separación:
Sí. Si tu cuenta aparece en data/suspects.jsonl y crees que la clasificación es incorrecta, abre un issue de falso positivo usando la plantilla proporcionada. Los informes son revisados manualmente antes de cualquier adición a la lista blanca. La lista blanca se almacena en data/allowlist.txt; las cuentas listadas allí se excluyen de todos los escaneos futuros y del libro mayor de sospechosos.
Un ID de campaña (ej. c-a3f9b2e1) es una huella digital hexadecimal determinista de 8 caracteres derivada del hash SHA-256 del conjunto ordenado de logins de miembros en esa campaña. El mismo grupo de cuentas producirá el mismo ID de campaña en ejecuciones de escaneo independientes, lo que permite el seguimiento longitudinal. No es un nombre de repositorio, un nombre de usuario ni ningún identificador externo.