Antes, ao avaliar se um projeto era "confiável ou não confiável", basicamente focava nas velas e na popularidade no grupo... Resultado, quando surgiam memes, recomendações de celebridades ou mudanças de atenção, era mais fácil acabar impulsivamente na última etapa. Agora, de qualquer forma, primeiro tomo um chá, e olho para três coisas: se o GitHub tem atualizações contínuas (não aquelas que crescem de uma noite para a outra), se o relatório de auditoria explica claramente quais problemas foram resolvidos, se há "já corrigido/não corrigido", e se as permissões de atualização usam multiassinatura, se os signatários estão dispersos, se o limite de assinatura é suficiente. Para ser sincero, isso também não garante segurança, mas pelo menos consegue filtrar um monte de "quem escreve histórias é mais dedicado do que quem escreve código". Quando está em alta, não se apresse em beber, vá com calma, assim pode evitar alguns erros.