phantomstars

GitHub पर नकली जुड़ाव का स्वचालित पता लगाना और ट्रैकिंग

एक JS Labs परियोजना — AI Slop Intelligence पहल का हिस्सा।
प्रतिदिन चलता है। हर संदिग्ध खाते को स्कोर करता है। समन्वित बॉट अभियानों का पता लगाता है।
समझौता किए गए रिपॉजिटरी पर सीधे issues दर्ज करता है ताकि अनुरक्षक कार्रवाई कर सकें।

---

इस परियोजना का समर्थन करें

BTC   3QjWqhQbHdHgWeYHTpmorP8Pe1wgDjJy54
ETH   0x5851e6145F4773d1585b8686095FB16E368a4dA1
ZEC   t1KSR5YkNPbjqRSCoLKo5AddFWdm9Kzxh1B

---

यह क्यों मौजूद है

GitHub Stars एक विश्वास संकेत हैं। वे यह तय करने का तरीका हैं कि डेवलपर किसका मूल्यांकन करें, किस पर निर्भर रहें और किसकी सिफारिश करें। उस संकेत को व्यवस्थित रूप से दूषित किया जा रहा है।

2024-2026 के AI बूम के दौरान, बॉट फार्मों का एक उद्योग उभरा जो निम्न-गुणवत्ता, अक्सर दुर्भावनापूर्ण रिपॉजिटरी के लिए विश्वसनीयता उत्पन्न करता है। एक प्रोजेक्ट जिसे 48 घंटों में 800 स्टार मिलते हैं, वह खोज परिणामों को स्कैन करने वाले डेवलपर को वैध लगता है। यही बात है। नकली जुड़ाव का लक्ष्य स्टार नहीं हैं; यह वह सामाजिक प्रमाण है जो वे स्टार उत्पन्न करते हैं, और वह डाउनस्ट्रीम निर्णय जो उस सामाजिक प्रमाण से प्रभावित होते हैं।

पैटर्न पहचाना जा सकता है। एक ही सप्ताह बनाए गए खाते, कोई बायो नहीं, कोई अनुयायी नहीं, कोई मूल रिपॉजिटरी नहीं, 2 घंटे की खिड़की में समान 15 रिपोज को स्टार कर रहे हैं। एक नहीं, बल्कि दर्जनों अभियान एक साथ चल रहे हैं, हर दिन, हजारों खातों में। डेटा उन रिपोज को दिखाता है जहां 185 में से 185 जुड़ाव करने वाले बॉट हैं। 100% नकली अनुपात। पूरी तरह से कुछ भी नहीं पर बने ट्रेंडिंग प्लेसमेंट।

phantomstars इसलिए बनाया गया क्योंकि यह समस्या हल करने योग्य है। GitHub के सार्वजनिक API में सिग्नल-टू-शोर अनुपात अभी भी इतना अधिक है कि समन्वित अभियान स्पष्ट फिंगरप्रिंट छोड़ते हैं। यह प्रोजेक्ट उन फिंगरप्रिंट को पढ़ता है, कच्चा डेटा प्रकाशित करता है, और प्रभावित रिपॉजिटरी अनुरक्षकों को सीधे सूचित करता है।

यह JS Labs में व्यापक AI Slop Intelligence कार्य का हिस्सा है, जो डेवलपर इकोसिस्टम में निम्न-गुणवत्ता AI-जनित सामग्री के तंत्र और मापने योग्य प्रभावों पर चल रहे शोध हैं। नकली जुड़ाव कोई गौण मुद्दा नहीं है। यह वह वितरण तंत्र है जो स्लॉप को वास्तविक उपयोगकर्ताओं के सामने लाता है।

---

यह क्या करता है

phantomstars एक दैनिक GitHub Actions जॉब चलाता है जो:

1. GitHub Trending पेज से आज स्टार प्राप्त कर रहे रिपोज को स्क्रैप करता है
2. पिछले 7 दिनों में बनाई गई रिपोज के लिए GitHub Search API पर क्वेरी करता है जिनमें अचानक स्टार गतिविधि हो (व्यापक खिड़की 24-घंटे के स्कैन से छूटे बहु-दिवसीय अभियानों को पकड़ती है)
3. r/osinttools और r/coolgithubprojects में हाल के Reddit पोस्ट से अतिरिक्त उम्मीदवार रिपोज सीड करता है, पिछले 2 दिनों के GitHub repo लिंक निकालकर
4. Events API के माध्यम से हाल के जुड़ाव ईवेंट (स्टार, फोर्क) खींचता है (प्रति रेपो पिछले 24 घंटे)
5. GraphQL के माध्यम से प्रत्येक जुड़ाव करने वाले खाते का पूरा प्रोफाइल प्राप्त करता है: खाता निर्माण तिथि, अनुयायी/अनुसरण संख्या, बायो, रेपो इतिहास
6. प्रत्येक खाते को एक समग्र ह्यूरिस्टिक मॉडल के विरुद्ध स्कोर करता है: खाता आयु, प्रोफाइल पूर्णता, रिपॉजिटरी पैटर्न और गतिविधि इतिहास
7. टाइमस्टैम्प क्लस्टरिंग और यूनियन-फाइंड का उपयोग करके समन्वित अभियानों का पता लगाता है: संदिग्ध खातों के समूह जो 3 घंटे की खिड़की के भीतर जुड़े
8. लेजर लेखन, रेपो-स्तरीय अनुपात, डैशबोर्ड और सूचनाओं से पहले झूठी-सकारात्मक अनुमति सूची लागू करता है ताकि प्रत्येक दृश्य मीट्रिक समान जनसंख्या का उपयोग करे
9. सभी संदिग्धों को एक append-only JSONL लेजर में जोड़ता है जो इस रेपो में वापस किया जाता है
10. प्रति-रेपो बुद्धिमत्ता फ़ीड प्रकाशित करता है जो दिखाता है कि किन रिपोज को लक्षित किया जा रहा है, कौन से डिस्कवरी स्रोतों ने उन्हें पाया, और क्या Events API विंडो पूर्ण थी या सीमित
11. लक्षित रिपोज पर सीधे GitHub Issues दर्ज करता है ताकि अनुरक्षक अपने स्वयं के issue ट्रैकर में अभियान डेटा देखें
12. GitHub Actions जॉब सारांश में एक स्वरूपित स्कैन रिपोर्ट लिखता है

कोई सर्वर नहीं। कोई डेटाबेस नहीं। कोई बुनियादी ढांचा बिल नहीं।

---

अक्सर पूछे जाने वाले प्रश्न

क्या यह लक्षित रिपो को सूचित करता है?

हाँ। जब किसी रिपो का नकलीपन अनुपात 40% से अधिक हो जाता है या एक समन्वित अभियान का पता चलता है, तो phantomstars सीधे उस रिपॉजिटरी पर एक issue खोलता है। Issue में पूर्ण संदिग्ध तालिका, अभियान सदस्यता, समग्र स्कोर और खाता निर्माण तिथियां होती हैं: वह सब कुछ जो एक अनुरक्षक को जांच करने और GitHub को रिपोर्ट करने के लिए चाहिए।

यदि लक्षित रिपो पर issues अक्षम हैं, तो सूचना चुपचाप छोड़ दी जाती है और स्कैन लॉग में दर्ज की जाती है।

क्या मैं एक विशिष्ट रिपॉजिटरी के लिए जांच का अनुरोध कर सकता हूँ?

हाँ।

• सामान्य एक-बार जांच के लिए, owner/repo रूप में एक रिपो सबमिट करें और एक लक्षित स्कैन चलाएं।
• आजीवन ऑडिट अनुरोध के लिए, एक-बार आजीवन मोड का उपयोग करें। यह दैनिक स्कैन से अलग है।

विभाजन क्यों:

• सामान्य स्कैन मॉडल हालिया सार्वजनिक जुड़ाव और कम ऑपरेटर लागत के लिए डिज़ाइन किया गया है।
• एक आजीवन ऑडिट में बड़े रिपोज पर हजारों स्टार और हजारों फोर्क शामिल हो सकते हैं।
• यह एक-बार जांच के लिए संभव है, लेकिन डिफ़ॉल्ट दैनिक पथ के लिए बहुत महंगा और बहुत धीमा है।
• इसलिए आजीवन अनुरोध केवल स्पष्ट एक-बार मोड में सुरक्षा उपायों के साथ चलते हैं।

क्या मैं एक झूठी सकारात्मक रिपोर्ट कर सकता हूँ?

हाँ। यदि आपका खाता data/suspects.jsonl में दिखाई देता है और आप मानते हैं कि वर्गीकरण गलत है, तो प्रदान किए गए टेम्पलेट का उपयोग करके एक झूठी सकारात्मक issue खोलें। किसी भी अनुमति सूची में जोड़ने से पहले रिपोर्ट की मैन्युअल समीक्षा की जाती है। अनुमति सूची data/allowlist.txt में संग्रहीत है; वहां सूचीबद्ध खातों को सभी भविष्य के स्कैन और संदिग्ध लेजर से बाहर रखा गया है।

अभियान आईडी क्या है?

एक अभियान आईडी (जैसे c-a3f9b2e1) उस अभियान में सदस्य लॉगिन के क्रमबद्ध सेट के SHA-256 हैश से प्राप्त एक निर्धारणात्मक 8-अक्षर हेक्स फिंगरप्रिंट है। खातों का एक ही समूह स्वतंत्र स्कैन रन में एक ही अभियान आईडी उत्पन्न करेगा, जो अनुदैर्ध्य ट्रैकिंग को सक्षम करता है। यह एक रेपो नाम, उपयोगकर्ता नाम, या कोई बाहरी पहचानकर्ता नहीं है।

स्थिरता: आईडी तब तक स्थिर है जब तक अभियान का सदस्य सेट अपरिवर्तित है। यदि स्कैन के बीच बॉट जोड़े या निलंबित किए जाते हैं, तो आईडी बदल जाती है क्योंकि सदस्यता बदल गई। यह अपेक्षित है और बॉट फार्म संरचना में वास्तविक दुनिया के बहाव को दर्शाता है।

क्या यह खाता निर्माण तिथियां जांचता है?

हाँ। प्रत्येक खाते की निर्माण तिथि GitHub GraphQL API (createdAt फ़ील्ड) से लाई जाती है और प्रत्येक संदिग्ध रिकॉर्ड में account_created_at के रूप में संग्रहीत की जाती है। यह खाता आयु स्कोर का प्राथमिक इनपुट भी है, जो नकली खातों के लिए सबसे मजबूत एकल संकेत है। जुड़ाव के 2 दिनों के भीतर बनाए गए खाते अकेले आयु पर 1.0 स्कोर करते हैं।

यह कितना विश्वसनीय है?

व्यक्तिगत स्कोर में सार्थक झूठी सकारात्मक दरें होती हैं। एक नया डेवलपर विरल प्रोफाइल के साथ वैध रूप से 0.75+ स्कोर कर सकता है। उपकरण इसके लिए issues दर्ज करने से पहले अभियान-स्तर के साक्ष्य की आवश्यकता के द्वारा खाता रखता है; एक अकेला संदिग्ध खाता पर्याप्त नहीं है। 40+ खातों का एक समन्वित समूह, सभी एक ही सप्ताह बनाए गए, सभी 0.75+ स्कोर कर रहे हैं, सभी 90 मिनट के भीतर जुड़ रहे हैं, एक अलग बात है। वहां पर विश्वास कार्रवाई योग्य हो जाता है।