Antigamente, eu olhava para o projeto "confiável ou não confiável", basicamente focava na linha de preço e quem gritava mais alto no grupo... Agora, na verdade, primeiro dou uma olhada no GitHub e nos relatórios de auditoria, pelo menos para ver se há alguém ativo a longo prazo, se há registros de commits que não sejam apenas um ou dois dias acumulados. Também não confie cegamente na auditoria, ter um relatório ≠ sem problemas, geralmente foco em dois pontos: se há problemas classificados por gravidade e se foram realmente resolvidos no final (não basta escrever "conhecido"). Quanto à questão de permissões de atualização, a assinatura múltipla é bastante importante, na verdade, não deixe uma pessoa querer mudar algo e fazer, o ideal é assinatura de várias partes + atraso, para dar tempo de reação a todos. Recentemente, com taxas de financiamento extremas, no grupo discutem se a reversão ou continuar a inflar a bolha, aí fico ainda mais preguiçoso para adivinhar, primeiro entendo se é possível mudar as regras no meio da noite, tomo um gole de café frio, e o resto fica ao acaso.