Antes, cuando miraba si un proyecto era "confiable o no", básicamente me fijaba en las velas y en quién gritaba más fuerte en el grupo… ahora, en cambio, primero reviso GitHub y los informes de auditoría, al menos para ver si hay alguien activo a largo plazo y si las contribuciones no son solo un par de días acumulados. Tampoco hay que confiar ciegamente en las auditorías, tener un informe ≠ no tener fallos, generalmente me fijo en dos cosas: si los problemas tienen diferentes niveles de gravedad, y si finalmente se han corregido (no basta con que pongan "conocido"). Y en cuanto a los permisos de actualización, la firma múltiple es clave, en realidad, no dejar que una sola persona pueda cambiar las cosas, lo mejor es firma múltiple + retraso, para dar tiempo a que todos reaccionen. Últimamente, con tasas de fondos extremas, en el grupo vuelven a discutir si revertir o seguir inflando la burbuja, y ya no me molesto en adivinar, primero entender si se puede cambiar la regla en medio de la noche, tomar un sorbo de cold brew, y lo demás, a lo que surja.