Recentemente, ao revisar uma pilha de materiais de projetos, senti uma sobrecarga de informações, e quanto mais a white paper parecia exagerada, mais eu ficava cauteloso.

Os novatos querem ver "credibilidade", minha própria solução burra é primeiro verificar três coisas:
Se o GitHub tem alguém trabalhando há bastante tempo (não apenas um pico de commits e depois sumiu),
Se o relatório de auditoria deixou as questões claras + se realmente corrigiram depois,
Se as permissões de atualização usam multi-assinatura/tempo de bloqueio,
Quem são os signatários, se podem trocar, se há uma porta de atualização com um clique que assusta pela conveniência.
Resumindo, promessas não valem nada se as permissões na cadeia não forem bem controladas.
Recentemente, memes e celebridades chamando atenção têm distraído bastante, aquela frase dos veteranos “não pegue a última etapa” eu realmente acredito...
De qualquer forma, vou revisar a estrutura de permissões e os registros de execução primeiro, para ficar mais tranquilo.