Antes, cuando miraba un proyecto para saber si era "confiable o no", básicamente me fijaba en las velas y en la popularidad en el grupo... Como resultado, cuando llegaba a memes, celebridades haciendo llamadas o ese tipo de rotación de atención, era más propenso a hacer impulsivamente la última compra. Ahora, en cualquier caso, primero tomo una taza de té, y reviso tres cosas: si GitHub tiene actualizaciones continuas (no solo un aumento repentino de un día para otro), si el informe de auditoría explica claramente qué problemas se corrigieron y si hay un "ya arreglado/no arreglado", y si los permisos de actualización son de firma múltiple, si los firmantes están dispersos y si el umbral es suficiente. En resumen, estas cosas no garantizan la seguridad, pero al menos pueden filtrar un montón de proyectos que "cuentan historias más que programar". Cuando está en auge, no te apresures a beber, tómate tu tiempo, así puedes evitar tropezar con unos cuantos errores.