Số sao đo phản ứng của đám đông trong vài giờ đầu, không đo được gì sau đó. Để kiểm tra, tôi lấy 30 repo nhiều sao nhất trong 615 repo mới của tuần 19–26/10 rồi đếm ba thứ API có sẵn: tổng số commit, số người đóng góp, và tỷ lệ fork trên sao.
Số người đóng góp
- 14 trong 30 repo (47%) có đúng một người đóng góp. Không có ai thứ hai.
- 20 trong 30 repo (67%) có từ hai người trở xuống.
- Trung vị của cả nhóm: 2 người đóng góp.
- Đối chiếu: harp (624 sao) có 171 người; flare-local-inference của NVIDIA (660 sao) có 11 người; aerial-tv (5.226 sao) có 22 người.
Repo một người không tự động xấu — nhiều dự án tốt bắt đầu như vậy. Nhưng nó có nghĩa cụ thể: không có ai review code, không có ai xử lý issue khi tác giả bận, và nếu tác giả mất hứng thì dự án dừng. Với một thư viện bạn định đưa vào production, đó là rủi ro thật chứ không phải cảm tính.
Số commit: tín hiệu phân biệt rõ nhất
Đếm số commit qua header `Link` của GitHub API cho ra một bản đồ rất rõ giữa hai loại repo:
- 2 repo trong 30 chỉ có đúng 1 commit — trong đó day-trader-skill với 1.697 sao. Một lần đẩy code, hết.
- Chỉ 11 trong 30 repo (37%) vượt 100 commit.
- Trung vị: 41 commit. Nhóm 41 commit trở xuống gần như toàn repo đăng-nội-dung: skill cho Claude, danh sách, công cụ một file.
- Nhóm trên 100 commit là nơi có phần mềm thật: harp 2.565 commit / 171 người, hackios-xnu-kernel 630 / 2, Bridgeplay 568 / 20, reylo 539 / 2, flare-local-inference 900 / 11.
Nếu chỉ được xem một chỉ số để đoán một repo có phải phần mềm đang sống hay không, tôi chọn số commit. Nó khó làm giả hơn sao nhiều: 1.700 sao có thể đến từ một bài đăng lên mạng xã hội, còn 2.565 commit thì phải có người ngồi làm.
Tỷ lệ fork trên sao
Fork là hành động tốn công hơn sao — người ta fork vì định dùng hoặc định sửa. Trung vị trong top 30 là 0,09 fork mỗi sao. Nhóm cao nhất: php2shell-poc 0,35, gpu-unlock-ada phụ 0,29, word-atlas 0,27 — đều là các công cụ người ta cần clone về chạy. Nhóm thấp nhất là repo chỉ để đọc, tỷ lệ dưới 0,05.
Đọc tỷ lệ này như một câu hỏi: người ta cần *chạy* cái này, hay chỉ cần *biết* nó tồn tại?
Tín hiệu thay thế: có ai đang phải xử lý vấn đề này không
Cách đo tốt nhất mà tôi biết không nằm ở số sao, mà ở việc một vấn đề có nhiều người độc lập giải quyết cùng lúc hay không. Trong 615 repo của tuần này có một cụm như vậy:
- 33 repo liên quan tới CVE-2026-109618 / CVE-2026-109619 (lỗi PHP `session.upload_progress`) và CVE-2026-111497 (Node/Brotli) — chiếm 5,4% số repo và 9,6% tổng số sao của cả bộ dữ liệu.
- 9.172 sao chia cho 33 repo, do 33 nhóm khác nhau làm: PoC khai thác, scanner, bản vá cho PHP hết hỗ trợ, vài extension PHP bảo vệ, và một repo của chính NCSC-NL (cơ quan an ninh mạng Hà Lan).
- 23 trong 33 repo viết bằng Python — độc lập với ngôn ngữ mà cụm này không phải sản phẩm, mà là công cụ dùng một lần để xử lý một sự việc cụ thể.
- 14 trong 33 repo không có license (42%, so với mức 34% của cả bộ dữ liệu) — dấu hiệu của code viết vội để dùng ngay, không phải để phân phối.
Đây là loại tín hiệu khó làm giả: 33 nhóm không hẹn nhau cùng đăng code về một lỗ hổng. Nếu bạn đang tìm ngách để làm dịch vụ, sự xuất hiện đồng thời của hàng chục công cụ độc lập quanh một vấn đề nói rằng vấn đề đó đang đau thật.
Checklist khi bạn định dùng một repo mới
- Có Docker ở gốc không? Nếu không, bạn sẽ tự viết — cộng thêm thời gian vào mọi kế hoạch.
- License là gì? Không có license = không có quyền gì cả, kể cả chạy nội bộ trong công ty.
- Bao nhiêu commit? Dưới 10 thì đây là nội dung, không phải phần mềm.
- Bao nhiêu người đóng góp? Một người là rủi ro bus-factor, không phải lỗi — nhưng phải biết.
- Lần đẩy code cuối là khi nào? Repo 180 ngày không commit là repo đã dừng, dù còn bao nhiêu sao.
- Người ta fork để chạy hay để đọc? Tỷ lệ fork trên sao trả lời câu này.
Cả 615 repo với các con số trên: bài dữ liệu tuần. Cách lọc ra cái dựng được thành dịch vụ: 615 → 38 → 19 → 11. Ba lỗi trong bản tin tự động đã sinh ra những con số này: bài về method.
Nguồn: endpoint `commits` và `contributors` của GitHub REST API cho 30 repo nhiều sao nhất trong tập 615 repo tạo sau 19/10/2026, cùng GitHub Search API. Dữ liệu chốt 26/10/2026.