GitHub刷星乱象调查 AI项目成虚假评分重灾区

GitHub 的 Star 数量还值得信赖吗？真相可能比你想象的更严峻。

开源社区中“购买 Star”的现象早已不是秘密，其便捷程度甚至超过点外卖，单价低廉且支持批量折扣。然而，卡内基梅隆大学（CMU）一项被 ICSE 2026 顶会收录的最新研究，首次系统性地揭示了这场“造假生意”的惊人规模：GitHub 平台上估计存在约 600 万颗虚假 Star，波及超过 1.8 万个代码仓库，背后涉及的虚假账号数量高达 30 万个以上。

回顾近年趋势，GitHub 的 Star 体系已显露出明显的“通货膨胀”迹象。曾几何时，一个项目获得上万 Star 堪称现象级成就。如今，大量新兴项目却能轻易冲上高星、跻身热门榜单。现在看来，一个简单的原因或许是：因为“刷星”的成本足够低廉。

更值得警惕的是，研究发现，人工智能与大型语言模型（AI/LLM）领域的开源项目，恰恰是虚假 Star 泛滥的重灾区。

揭秘成熟的刷星灰色产业链

CMU 研究团队能够揭开这一黑幕，得益于其开发的大规模检测工具 StarScout。该工具通过识别僵尸账号、同步批量点赞等异常行为模式，能够精准定位 GitHub 上的虚假标星行为。

基于对 2019 年至 2024 年全网 GitHub 数据的分析，StarScout 最终识别出约 600 万颗疑似假星，涉及仓库超 1.8 万个，检测准确率高达 81%。其中一个典型案例显示，一个拥有 111 颗 Star 的仓库，经核验至少有 109 颗被判定为虚假。

如此严重“注水”的仓库在平台上并不罕见，这标志着购买 GitHub Star 已形成一条成熟的地下产业链。根据 Dagster 在 2024 年的调查，这项服务甚至提供分层定价策略，满足不同需求：

经济套餐每颗星仅需 0.03 至 0.10 美元，主打低价走量；高端服务则定价 0.80 至 0.90 美元每颗，致力于提供难以察觉的精细化伪装。低价服务多使用批量注册的空白小号快速操作，易触发平台风控；高价服务则会动用养号多年的优质老账号，模拟真实用户的浏览与互动节奏，使涨星过程显得自然平滑。部分供应商还提供“售后保障”，承诺长期维持 Star 数量，避免被清理，其伪装逻辑堪称周全。

购买渠道也几乎公开化。市面上至少有 12 个公开网站提供此类服务，在 Fiverr 等自由职业平台上，长期有超过 24 个活跃卖家接单，甚至支持通过 API 进行程序化批量购买。

产业链下游同样“繁荣”。市场催生了专门的“GitHub 账号农场”，负责批量养殖高信誉账号。一个拥有 5 年提交记录、持有 Arctic Code Vault 贡献者徽章的“优质”账号，据称售价高达 5000 美元。尽管贡献图谱全是伪造，但单从表面数据看，它可能比大多数真实开发者账号更为“光鲜”。

那么，究竟是谁在购买这些虚假的 GitHub Stars 呢？答案颇具讽刺意味。CMU 的研究明确指出，在非恶意项目中，AI 与 LLM 项目是刷星最严重的领域，造假数量高居榜首。

造假者甚至深谙平台算法。论文统计显示，有 78 个重度刷星的“注水”项目，凭借虚假热度成功挤进了 GitHub 的 Trending 热门榜单。不过，研究也证实，假星带来的热度泡沫通常只有不到两个月的“保质期”，长期来看反而会损害项目的真实活跃度，产生负面效应。

GitHub Stars 为何成为融资的隐形入场券？

不惜造假也要刷高 Star 数，其核心驱动力往往与“融资”紧密相关。在高度竞争的开源生态中，纯粹的技术优势有时难以被投资者快速感知。于是，那些直观、可量化的外部指标，就成了风险投资（VC）进行初步筛选的关键依据。而 GitHub 的 Star 数量，正是其中最显眼、最直接的“影响力硬指标”。

知名投资机构 Redpoint 的一位合伙人曾透露行业隐形门槛：开源初创项目种子轮融资的 Star 数量中位数约为 2850 颗，而到 A 轮融资时，这个数字需达到 4980 颗左右。

由此算来，刷星的成本效益比极高。要达到种子轮 2850 颗星的门槛，按每颗星 0.03 至 0.10 美元的成本计算，总投入仅在 85 到 285 美元之间。但这笔微小的投入，对应的潜在收益却是百万美元级别。开源项目的种子轮融资额普遍在 100 万到 1000 万美元区间。粗略估算，刷星行为的最高投资回报率（ROI）可能达到惊人的 11.7 万倍。用几百美元博取数百万美元融资的机会，对许多创业者而言诱惑巨大。

头部风投 Runa Capital 定期发布的“增长最快开源项目”榜单被视为行业风向标。数据显示，高达 68% 的上榜项目能成功获得种子轮融资，累计总额高达 1.69 亿美元。然而，分析发现，这份权威榜单上曾排名第一、拥有 74000 颗星的明星项目 Union Labs，竟有 47.4% 的标星疑似造假。一个关键证据是，其 Fork 数与 Star 数的比值仅为 0.052，而健康活跃的真实开源项目，该比值通常稳定在 0.1 到 0.2 之间。

于是，一个恶性循环就此形成：VC 依赖 Star 数筛选项目 → 创业者购买 Star 美化数据 → VC 看到“漂亮”数据后更强化对此指标的依赖 → 更多创业者效仿跟进 → 虚假 Star 交易愈发猖獗……

既然 Star 数已不可尽信，开发者应如何评估一个开源项目的真实质量？经验丰富的从业者分享了关键维度：首先查看最后一次提交日期，更新越近越好，这表明项目有人维护。其次考察项目年龄和更新频率，能够长期稳定迭代的老项目本身就是可靠性的证明。此外，Issues 区的讨论质量、Pull Request 的合并情况以及对核心代码的审查也至关重要。

正如一位开发者所言：Star 数能告诉我什么？它要么是项目质量、活跃度等硬指标带来的自然结果，要么就纯属造假。判断一个开源项目的真实价值，最终必须回归代码、社区与维护本身。你可以买来虚假的星星，但买不来一个真正帮你修复 Bug 的 Pull Request，更买不来一个健康、可持续的开源社区。

CMU研究：https://arxiv.org/abs/2412.13459