Antes, eu olhava para o projeto "confiável ou não confiável", basicamente focava na linha de tendência e na popularidade no grupo... o resultado era que, quando entrava em memes, chamadas de celebridades, a atenção mudava rapidamente, e era mais fácil acabar pegando a última oportunidade por impulso. Agora, de qualquer forma, primeiro tomo um chá, e olho três coisas: se o GitHub está sendo atualizado continuamente (não aquelas que crescem de uma hora para outra), se o relatório de auditoria explica claramente qual problema foi resolvido, se há "já corrigido/não corrigido", e se as permissões de atualização usam multiassinatura, se os signatários estão dispersos, se o limite de assinatura é suficiente. Para ser sincero, isso também não garante segurança, mas pelo menos consegue filtrar um monte de "que conta histórias mais do que escreve código". Quando está em alta, não se apresse em beber, vá devagar, assim pode evitar cair em algumas armadilhas.