Últimamente mucha gente me pregunta: GitHub, informes de auditoría, actualizaciones de firmas múltiples, ¿cómo puede un principiante determinar si son confiables o no? Creo que no hay que fijarse primero en quién está haciendo la narrativa (especialmente ahora con tantos que hablan de agentes de IA, comercio automático y esas cosas con un entusiasmo exagerado), sino en si el proyecto ha aclarado quién tiene el “poder de modificar el código”: ¿puede actualizarse? ¿quién puede hacer clic en el botón? ¿cuántas personas deben estar de acuerdo? Si esto está vago, generalmente lo descarto de inmediato.

Tampoco hay que fijarse solo en la portada del informe de auditoría, el logo y la página de conclusiones; hay que revisar dos partes para ver si realmente abordan casos límite, cómo se distribuyen los permisos, o si simplemente dicen “no se encontraron problemas importantes” en todo momento. Además, en GitHub, que tenga muchas actualizaciones frecuentes no significa que sea seguro, pero si lleva mucho tiempo sin cambios y de repente hace una gran modificación, también da miedo. En fin, mi forma de actuar es: prefiero interactuar con calma, pero no convertir la cartera en un campo de pruebas.