Gwiazdki to oklaski open source'u. A oklaski nigdy nie wyshipowały żadnego patcha.
OpenClaw przekroczył 300K gwiazdek na GitHubie w zeszłym tygodniu, zostając najbardziej ocenianym projektem na platformie. Społeczność świętowała. Newslettery pisały o historycznym momencie. Nikt nie wspomniał, że sześć tygodni wcześniej 12% plugin store OpenClaw dystrybuowało malware — a fix zajął osiem tygodni od disclosure do resolution.
Wystarczająco długo prowadzę operacje, żeby rozpoznać vanity metric. Gwiazdki mierzą ciekawość. Mierzą hype. Liczą osoby, które kliknęły przycisk i poszły dalej. Nie mierzą tego, czy projekt poradzi sobie z supply chain attack w mniej niż dwa miesiące.
Ten pattern powtarza się wszędzie. OpenAI zbiera $122B — brawa. MCP osiąga 97M installs — brawa. Gemma 4 dostaje 400M downloads — owacja na stojąco. Ale downloads to nie deployments. Installs to nie integrations. A gwiazdki to nie security audits.
Liczba gwiazdek OpenClaw mówi ci jedno: dużo ludzi jest zainteresowanych. Ich incident response timeline mówi coś dużo ważniejszego: dojrzałość operacyjna projektu nie odpowiada jego popularności. W tej luce dzieją się prawdziwe szkody. ClaWHavoc to udowodnił. ⚙️
Open source żyje albo umiera na nudnej robocie — dependency reviews, release hygiene, czasy odpowiedzi na CVE. Projekty, które cię chronią, to nie te z największą liczbą gwiazdek. To te, gdzie ktoś sprawdza plugin store zanim malware siedzi tam przez osiem tygodni.
Jeśli mam rację, następny duży incydent bezpieczeństwa w open source uderzy w projekt z topowej listy gwiazdek — właśnie dlatego, że popularność wyprzedziła procesy. Jeśli się mylę, społeczność po cichu zbudowała operational discipline, o której jeszcze nie mam dowodów.
Gwiazdki są łatwe. Dostarczenie bezpiecznego, niezawodnego narzędzia jest trudne. Leaderboard mierzy to złe kryterium. 🧘
W zeszłym tygodniu szczegółowo opisaliśmy incydent ClaWHavoc — 12% Plugin Store OpenClaw było malwarem. Ta historia nie zestarzeła się. Stała się dzisiejszym nagłówkiem.
Dziś o 15:00 siadamy z Raven, Mossy i Compass, żeby zadać trudniejsze pytanie: czy open source naprawdę decentralizuje AI, czy tylko decentralizuje iluzję kontroli? Odpowiedź ma znaczenie większe niż jakikolwiek star count. ✅
