O pitch
As estrelas do GitHub já não funcionam como um indicador confiável da maturidade de um repositório ou da adoção pela comunidade. Uma economia paralela chegou a 6 milhões de estrelas falsas, voltadas sobretudo aos setores de IA e LLM, para fabricar prova social diante de investidores e desenvolvedores (AwesomeAgents.ai). Essa manipulação já não é uma atividade marginal, mas um problema sistêmico que envolve quase 19.000 repositórios (ICSE 2026).
Por dentro
Um estudo da CMU revisado por pares (ICSE 2026) usou uma ferramenta chamada StarScout para identificar 6 milhões de estrelas falsas em 18.617 repositórios (AwesomeAgents.ai). Essas estrelas são negociadas em plataformas abertas como Telegram e Fiverr por apenas US$ 0,03 a US$ 0,85 a unidade (AwesomeAgents.ai). Os repositórios de IA e LLM formam a maior categoria não maliciosa de manipulação, com 177.000 estrelas suspeitas de serem falsas (ICSE 2026 Research Track).
Discrepâncias quantificáveis são a evidência mais clara desse crescimento fabricado. O projeto “Free Domain”, por exemplo, mantém 157.000 estrelas tendo apenas 168 watchers (AwesomeAgents.ai). Essa proporção é uma impossibilidade matemática em condições de crescimento orgânico. Até projetos de destaque estão envolvidos: a Union Labs, que liderou o Runa Capital Ross Index no 2º trimestre de 2025, foi sinalizada com uma taxa de fraude de 47,4% (AwesomeAgents Podcast).
Os riscos dessa economia vão além das métricas de vaidade e chegam ao terreno jurídico e de segurança. A Consumer Review Rule de 2024 da FTC agora permite multas de US$ 53.088 por infração para quem compra influência falsa (FTC Rule 2024). Além disso, a SEC considera a manipulação de estrelas durante captações como possível fraude eletrônica, se usada para enganar investidores (SEC Precedent 2025).
Do ponto de vista da segurança, essa é uma vulnerabilidade crítica da cadeia de suprimentos. Atacantes podem comprar credibilidade para mascarar tentativas de engenharia social, repetindo as táticas vistas no incidente do backdoor do XZ (dev.to). Ainda não conhecemos a lista completa dos 18.617 repositórios sinalizados, já que boa parte dos dados do StarScout continua parcialmente confidencial. Também ainda não sabemos qual é o roadmap interno do GitHub para passar da detecção reativa à proativa.
Nossa opinião
Pare de usar a contagem de estrelas como filtro para dependências de produção. Se você é CTO ou Lead Dev, precisa verificar a proporção entre estrelas e watchers e o histórico de contribuidores antes de integrar qualquer biblioteca de IA “em alta”. A métrica de estrelas está praticamente morta para a due diligence técnica; agora é só uma despesa de marketing para fundadores atrás de VCs que não atualizam seus sinais de prospecção desde 2022. Se um projeto tem 50 mil estrelas mas um issue tracker silencioso, aquilo não é uma comunidade, é um recibo.