Auteur : Claude, Deep Tide TechFlow
Introduction de Deep Tide : Une étude par les pairs de l'Université Carnegie Mellon (CMU) a révélé l'existence d'environ 6 millions de fausses Stars sur GitHub, impliquant 18 600 dépôts et 301 000 comptes. Les projets d'IA/LLM constituent la plus grande catégorie non malveillante d'achat de Stars. Sur le marché, le prix d'une Star peut descendre jusqu'à 0,03 dollar, et les données de Redpoint montrent que le nombre médian de Stars pour un projet en phase seed est de 2 850 — il suffit de dépenser moins de 200 dollars pour « acheter » une popularité factice répondant aux critères d'un tour de financement seed.
Le Star GitHub (like) est en train de devenir une arnaque soigneusement emballée.
Selon un rapport d'enquête publié le 13 avril par Awesome Agents, une chaîne industrielle grise mature autour des Stars GitHub fonctionne déjà au grand jour : un article académique a quantifié l'ampleur du problème, une dizaine de sites web vendent ouvertement des Stars, et les sociétés de capital-risque intègrent directement le nombre de Stars dans leur processus de sélection des projets.
L'équipe d'enquête a procédé à une vérification indépendante sur 20 dépôts et a découvert que pour certains projets, 36 % à 76 % des Stars provenaient de comptes sans abonnés, et le ratio fork/star était inférieur à un dixième du niveau de base des projets organiques.
Le soutien académique central de ce rapport provient d'un article évalué par les pairs, co-écrit par la CMU, l'Université d'État de Caroline du Nord et Socket, et publié à l'ICSE 2026 (Conférence internationale sur l'ingénierie logicielle). L'outil de détection StarScout, développé par l'équipe de recherche, a analysé 20 To de métadonnées GitHub (6,7 milliards d'événements, 326 millions de Stars, couvrant la période de 2019 à 2024), marquant finalement environ 6 millions de Stars suspectes, 18 600 dépôts impliqués et environ 301 000 comptes participants.
6 millions de fausses Stars : Croissance explosive en 2024, les projets d'IA lourdement touchés
Les fausses Stars ne sont pas un phénomène nouveau, mais leur ampleur a connu une croissance explosive en 2024. Les données de l'article de la CMU montrent qu'avant 2022, moins de 10 dépôts par mois étaient impliqués dans des activités de fausses Stars. Au pic de juillet 2024, ce nombre est monté en flèche à 3 216 dépôts et 30 779 comptes participants. Jusqu'en juillet 2024, 16,66 % des dépôts ayant plus de 50 Stars avaient participé à des activités de fausses Stars.
La précision de détection de l'équipe de recherche a été indirectement validée par le comportement de GitHub lui-même : 90,42 % des dépôts marqués par StarScout avaient été supprimés, et 57,07 % des comptes marqués avaient été nettoyés.
Parmi les utilisations des fausses Stars, la majorité sert à promouvoir des dépôts de logiciels malveillants de phishing éphémères. Mais dans la catégorie non malveillante, les projets liés à l'IA et aux LLM arrivent en tête, avec un total de 177 000 fausses Stars, dépassant les projets de blockchain/crypto-monnaies. L'article note que « beaucoup de ces projets sont des dépôts d'articles académiques ou des produits de startups liées aux LLM ». Plus crucial encore, 78 dépôts détectés avec des activités de fausses Stars sont apparus sur la page GitHub Trending, prouvant que l'achat de Stars peut effectivement manipuler l'algorithme de recommandation de la plateforme.
Une Star à partir de 3 cents : Un marché d'achat de Stars opérant ouvertement
Il ne s'agit pas de transactions sur le dark web. L'enquête a confirmé qu'au moins une dizaine de sites web vendent ouvertement des GitHub Stars, notamment SocialPlug.io, Buy.fans, Boost-Like.store, etc. Sur Fiverr, on trouve 24 services actifs d'achat de Stars, allant de forfaits de base à 5 dollars à des packs de « promotion organique » à 25 dollars et plus.
La tarification comporte trois niveaux : économique (nouveaux comptes jetables) de 0,03 à 0,10 dollar par Star, moyen de 0,20 à 0,50 dollar, et premium (comptes vieux de plusieurs années) de 0,80 à 0,90 dollar. Les services premium promettent « pas de perte de Stars » et une garantie de recomplétion sous 30 jours. SocialPlug affirme avoir livré 3,1 millions de Stars cumulées, servi plus de 53 000 clients, et propose même une API pour un approvisionnement par lots programmatique.
Les plateformes d'échange de Stars comme GithubStarMate.com et SafeStarExchange.com utilisent quant à elles un système de points pour un échange mutuel, permettant aux utilisateurs d'obtenir des Stars sans dépenser d'argent. Sur GitHub, il existe également au moins 7 outils open source (comme fake-git-history, commit-bot, etc.) spécialement conçus pour falsifier l'historique des contributions. Des comptes GitHub préfabriqués avec 5 ans d'historique de commits et le badge de contributeur Arctic Code Vault se vendent environ 5 000 dollars sur Telegram.
Une étude de l'Université Tsinghua de 2020 a documenté le fonctionnement des groupes de promotion sur QQ et WeChat en Chine : des groupes de plus de 1 020 membres traitent environ 20 tâches de dépôts par jour pour l'achat de Stars, estimant un profit annuel de l'industrie entre 3,4 et 4,4 millions de dollars.
Les VC utilisent les Stars pour filtrer les projets, 200 dollars suffisent pour « atteindre » le seuil du seed
La relation entre les Stars et le financement n'est pas une spéculation, mais est publiquement reconnue par les sociétés de capital-risque elles-mêmes.
Jordan Segall, associé chez Redpoint Ventures, après avoir analysé 80 entreprises d'outils pour développeurs, a constaté que le nombre médian de GitHub Stars lors d'un tour de financement seed était de 2 850, et de 4 980 lors d'un tour Série A. Il a clairement indiqué : « Beaucoup de VC编写 (rédigent) des crawlers internes pour trouver des projets GitHub avec une croissance rapide des Stars, les Stars sont la métrique qu'ils surveillent le plus souvent. »
Ces chiffres donnent aux startups une liste de courses précise. En utilisant le calcul des Stars bon marché, il suffit de dépenser 85 à 285 dollars pour fabriquer 2 850 Stars et atteindre la médiane du seed ; dépenser 990 à 4 500 dollars permet d'atteindre le seuil de la Série A. Comparé à l'enveloppe typique d'un tour seed de 1 à 10 millions de dollars, le ratio rendement/investissement se situe entre 3 500 et 117 000.
L'indice ROSS (classement des startups open source) publié trimestriellement par Runa Capital amplifie encore cette incitation. Selon TechCrunch, 68 % des entreprises classées dans l'indice ROSS ont obtenu un investissement en phase seed, le total des financements suivis s'élevant à 169 millions de dollars. L'analyse indépendante de l'enquête a révélé que Union Labs, classé premier de l'indice ROSS au Q2 2025 (croissance des Stars de 54,2 fois, total de 74 300 Stars), présentait de sérieux soupçons d'achat de Stars : 32,7 % des Stars provenaient de comptes sans dépôt, 52 % de comptes sans abonnés, et StarScout a marqué 47,4 % de ses Stars comme suspectes. Un classement sectorial largement cité par les VC, et le projet en tête a près de la moitié de ses Stars suspectées d'être fausses.
Des cas concrets viennent étayer la chaîne de conversion des Stars vers le financement : Lovable (anciennement GPT Engineer) a obtenu 7,5 millions de dollars en pre-seed avec 50 000+ Stars, une valorisation de 1,8 milliard de dollars en Série A ; Browser-use a obtenu 17 millions de dollars en seed après avoir atteint 50 000 Stars en trois mois ; Pangolin est entré à Y Combinator avec 1 000 Stars et a bouclé un tour de financement seed de 4,7 millions de dollars en huit mois.
Asymétrie de l'application chez GitHub : Suppression des dépôts mais conservation des comptes
La politique d'utilisation acceptable de GitHub interdit explicitement les « interactions fausses », la « manipulation du classement » et la création d'un marché secondaire pour les fausses Stars, interdisant même spécifiquement l'achat de Stars incité par des « airdrops de crypto-monnaies ».
Mais l'application est passive et asymétrique. GitHub a supprimé 90,42 % des dépôts marqués par StarScout, mais n'a nettoyé que 57,07 % des comptes exécutants. La « main-d'œuvre » de l'industrie des fausses Stars est largement intacte. Après la publication du rapport d'enquête de Dagster en 2023, les comptes de fausses Stars concernés ont été supprimés sous 48 heures — mais c'était une réaction suite à une exposition publique, et non le résultat d'une détection proactive.
L'équipe de recherche de la CMU a recommandé à GitHub d'adopter une métrique de popularité pondérée basée sur la centralité du réseau pour remplacer le simple décompte de Stars, anéantissant structurellement l'économie des fausses Stars. GitHub ne l'a pas encore mis en œuvre.
Cela forme une boucle auto-renforçante : Les VC utilisent les Stars comme signal de filtrage → Les startups achètent des Stars → Les VC voient une popularité factice → Plus de VC adoptent le suivi des Stars → Plus de startups achètent des Stars. Les chiffres de référence publiés par Redpoint (2 850 pour le seed, 4 980 pour la Série A) équivalent à donner aux startups une liste de courses tarifée.
Comme l'a dit un commentateur dans le rapport d'enquête : « Le nombre de Stars peut être falsifié, mais une correction de bug qui fait gagner un week-end à quelqu'un ne peut pas l'être. »
