Tác giả: Claude, Deep Tide TechFlow
Dẫn nhập Deep Tide: Nghiên cứu được bình duyệt từ Đại học Carnegie Mellon (CMU) phát hiện khoảng 6 triệu sao giả trên GitHub, liên quan đến 18.6 nghìn kho lưu trữ và 301 nghìn tài khoản, với các dự án AI/LLM là danh mục tạo sao không độc hại lớn nhất. Giá thị trường sao giả có thể thấp đến 0.03 USD mỗi sao, trong khi dữ liệu từ Redpoint cho thấy số sao trung bình của các dự án vòng hạt giốc do VC tài trợ là 2.850 sao — chỉ cần chi chưa đến 200 USD là có thể "mua" được một mức độ nổi tiếng ảo đạt ngưỡng vòng hạt giống.
GitHub Star (lượt thích) đang trở thành một trò lừa đảo được đóng gói tinh vi.
Theo báo cáo điều tra được Awesome Agents công bố ngày 13 tháng 4, một chuỗi công nghiệp ngầm xoay quanh GitHub Star đã hoạt động công khai: các bài báo học thuật định lượng quy mô vấn đề, hơn chục trang web công khai rao bán Star, còn các tổ chức mạo hiểm (VC) thì trực tiếp đưa số lượng Star vào quyết định sàng lọc dự án.
Nhóm điều tra đã xác minh độc lập 20 kho lưu trữ và phát hiện một số dự án có từ 36% đến 76% số sao đến từ các tài khoản không có người theo dõi, tỷ lệ fork trên star thấp hơn một phần mười so với đường cơ sở của các dự án hữu cơ.
Nền tảng học thuật cốt lõi của báo cáo này đến từ bài báo được bình duyệt đồng cấp, được công bố tại ICSE 2026 (Hội nghị Kỹ thuật Phần mềm Quốc tế) bởi nhóm nghiên cứu hợp tác giữa CMU, Đại học Bang North Carolina và công ty Socket. Công cụ phát hiện StarScout do nhóm nghiên cứu phát triển đã phân tích 20TB siêu dữ liệu GitHub (6.7 tỷ sự kiện, 326 triệu sao, bao phủ từ năm 2019 đến 2024), cuối cùng đánh dấu khoảng 6 triệu sao giả đáng ngờ, 18.6 nghìn kho lưu trữ liên quan và khoảng 301 nghìn tài khoản tham gia.
6 triệu sao giả: Bùng nổ vào năm 2024, dự án AI là điểm nóng
Sao giả không phải là hiện tượng mới, nhưng quy mô của nó đã bùng nổ vào năm 2024. Dữ liệu từ bài báo CMU cho thấy, trước năm 2022, mỗi tháng có không quá 10 kho lưu trữ liên quan đến hoạt động sao giả, nhưng đến tháng 7/2024, con số này đã tăng vọt lên 3.216 kho lưu trữ và 30.779 tài khoản tham gia. Tính đến tháng 7/2024, trong số các kho lưu trữ có trên 50 sao, 16.66% từng tham gia hoạt động sao giả.
Độ chính xác của công cụ phát hiện đã được xác minh gián tiếp bởi hành vi của chính GitHub: 90.42% kho lưu trữ bị StarScout đánh dấu đã bị xóa, và 57.07% tài khoản bị đánh dấu đã bị dọn dẹp.
Trong phân loại mục đích sử dụng sao giả, phần lớn được dùng để quảng bá các kho lưu trữ phần mềm độc hại lừa đảo tồn tại ngắn ngủi. Nhưng trong danh mục không độc hại, các dự án liên quan đến AI và LLM xếp hạng nhất, với tổng số sao giả lên tới 177.000 sao, vượt qua các dự án blockchain/tiền mã hóa. Bài báo chỉ ra rằng, nhiều trong số các dự án này "là kho lưu trữ bài báo học thuật hoặc sản phẩm của các công ty khởi nghiệp liên quan đến LLM". Quan trọng hơn, 78 kho lưu trữ bị phát hiện có hoạt động sao giả từng lên trang GitHub Trending, chứng minh rằng việc mua sao thực sự có thể thao túng thành công thuật toán đề xuất của nền tảng.
Một sao giá thấp nhất 3 cent: Thị trường mua bán sao công khai
Đây không phải là giao dịch trên dark web. Báo cáo điều tra xác nhận, ít nhất hơn chục trang web công khai bán GitHub Star, bao gồm SocialPlug.io, Buy.fans, Boost-Like.store, v.v. Trên Fiverr có 24 dịch vụ tạo sao đang hoạt động, từ gói cơ bản 5 USD đến các gói "quảng bá hữu cơ" trên 25 USD.
Giá được chia thành ba mức: giá rẻ (tài khoản mới dùng một lần) từ 0.03 đến 0.10 USD mỗi sao, mức trung bình từ 0.20 đến 0.50 USD, mức cao cấp (tài khoản nuôi có lịch sử nhiều năm) từ 0.80 đến 0.90 USD. Dịch vụ cao cấp cam kết "sao không mất" và bảo hành bù số lượng trong 30 ngày. SocialPlug tuyên bố đã giao tổng cộng 3.1 triệu sao, phục vụ hơn 53.000 khách hàng, thậm chí cung cấp giao diện API hỗ trợ mua hàng loạt theo chương trình.
Các nền tảng trao đổi sao như GithubStarMate.com và SafeStarExchange.com thì sử dụng chế độ tích điểm trao đổi lẫn nhau, cho phép người dùng trao đổi sao mà không cần tiền. Trên GitHub còn tồn tại ít nhất 7 công cụ mã nguồn mở (như fake-git-history, commit-bot, v.v.), chuyên dùng để giả mạo lịch sử đóng góp. Các tài khoản GitHub được làm sẵn với lịch sử commit 5 năm và huy hiệu Arctic Code Vault được rao bán trên Telegram với giá khoảng 5.000 USD.
Một nghiên cứu năm 2020 của Đại học Thanh Hoa ghi nhận cách hoạt động của các nhóm quảng bá trên QQ và WeChat tại Trung Quốc: các nhóm có hơn 1.020 thành viên xử lý khoảng 20 nhiệm vụ tạo sao mỗi ngày cho các kho lưu trữ, ước tính tạo ra lợi nhuận ngành từ 3.4 đến 4.4 triệu USD mỗi năm.
VC dùng Star để sàng lọc dự án, chỉ 200 USD là có thể "đạt chuẩn" vòng hạt giống
Mối quan hệ giữa Star và gọi vốn không phải là phỏng đoán, mà chính các tổ chức VC đã công khai thừa nhận.
Đối tác Redpoint Ventures Jordan Segall sau khi phân tích 80 công ty công cụ dành cho nhà phát triển đã phát hiện ra rằng, số sao GitHub trung bình tại thời điểm gọi vốn vòng hạt giống là 2.850 sao, và ở vòng A là 4.980 sao. Ông nói rõ: "Nhiều VC viết các chương trình thu thập dữ liệu nội bộ để tìm các dự án GitHub có tốc độ tăng sao nhanh, Star là chỉ số họ thường quan tâm nhất."
Những con số này tương đương với việc cung cấp cho công ty khởi nghiệp một danh sách mua hàng chính xác. Tính theo giá sao rẻ, chỉ cần chi 85 đến 285 USD là có thể tạo ra 2.850 sao để đạt mức trung bình vòng hạt giống; chi 990 đến 4.500 USD có thể đạt ngưỡng vòng A. So với quy mô gọi vốn điển hình của vòng hạt giống từ 1 đến 10 triệu USD, tỷ lệ lợi nhuận trên chi phí nằm trong khoảng từ 3.500 đến 117.000 lần.
Chỉ số ROSS (Bảng xếp hạng công ty khởi nghiệp mã nguồn mở) do Runa Capital công bố hàng quý càng làm gia tăng động lực này. Theo TechCrunch, 68% công ty lọt vào bảng xếp hạng ROSS Index đã nhận được đầu tư ở giai đoạn vòng hạt giống, với tổng số vốn được theo dõi lên tới 169 triệu USD. Phân tích độc lập của báo cáo điều tra phát hiện, Union Labs đứng đầu bảng xếp hạng ROSS Index Q2/2025 (số sao tăng 54.2 lần, tổng 74.300 sao) có nghi ngờ tạo sao nghiêm trọng: 32.7% số sao đến từ các tài khoản không có kho lưu trữ, 52% từ các tài khoản không có người theo dõi, StarScout đánh dấu 47.4% số sao của họ là đáng ngờ. Một bảng xếp hạng ngành được VC trích dẫn rộng rãi, và dự án đứng đầu có gần một nửa số sao bị nghi ngờ là giả mạo.
Đã có các trường hợp thực tế chứng minh chuỗi chuyển đổi từ Star sang gọi vốn: Lovable (trước đây là GPT Engineer) dựa vào 50.000+ Star để nhận được 7.5 triệu USD vòng pre-seed, định giá 1.8 tỷ USD ở vòng A; Browser-use nhận được 17 triệu USD vòng hạt giống sau khi đạt 50.000 sao trong ba tháng; Pangolin dựa vào 1.000 sao để vào Y Combinator và hoàn thành vòng gọi vốn hạt giống 4.7 triệu USD trong vòng tám tháng.
GitHub thi hành không đối xứng: Xóa kho lưu trữ nhưng để lại tài khoản
Chính sách sử dụng chấp nhận được của GitHub cấm rõ ràng "tương tác giả mạo", "thao túng xếp hạng" và việc thiết lập thị trường thứ cấp cho sao giả, thậm chí đặc biệt cấm hành vi tạo sao với động lực là "airdrop tiền mã hóa".
Nhưng việc thi hành là thụ động và không đối xứng. GitHub đã xóa 90.42% kho lưu trữ bị StarScout đánh dấu, nhưng chỉ dọn dẹp 57.07% số tài khoản thực thi. Phần lớn "lực lượng lao động" của ngành công nghiệp sao giả vẫn còn nguyên vẹn. Sau khi Dagster công bố báo cáo điều tra vào năm 2023, các tài khoản sao giả liên quan đã bị xóa trong vòng 48 giờ — nhưng đây là phản ứng sau khi bị phơi bày công khai, chứ không phải kết quả của việc phát hiện chủ động.
Nhóm nghiên cứu CMU đề nghị GitHub sử dụng chỉ số độ nổi tiếng có trọng số dựa trên tính trung tâm mạng thay thế cho việc đếm sao thô, từ đó phá vỡ cấu trúc nền kinh tế sao giả. GitHub cho đến nay vẫn chưa thực hiện.
Điều này tạo thành một vòng lặp tự củng cố: VC dùng Star làm tín hiệu sàng lọc → Công ty khởi nghiệp tạo sao → VC thấy mức độ nổi tiếng ảo → Nhiều VC hơn sử dụng theo dõi Star → Nhiều công ty khởi nghiệp hơn tạo sao. Các con số chuẩn được Redpoint công bố công khai (2.850 cho hạt giống, 4.980 cho vòng A) tương đương với việc đưa cho các công ty khởi nghiệp một danh sách mua hàng được định giá rõ ràng.
Như một nhà bình luận trong báo cáo điều tra đã nói: "Số lượng sao có thể làm giả, nhưng một thứ giúp người khác tiết kiệm được việc sửa lỗi vào cuối tuần thì không thể làm giả."
