6 triệu sao giả GitHub tạo “mỏ vàng” gọi vốn AI

Hàng triệu “sao giả” trên GitHub đang bị lợi dụng để thổi phồng độ nổi tiếng của startup AI, giúp gọi vốn hàng chục triệu USD mà chưa ai bị xử lý.

GitHub từ lâu được xem là “thước đo uy tín” của giới lập trình khi số sao càng cao đồng nghĩa dự án càng nổi tiếng, dễ lọt bảng xu hướng và thu hút nhà đầu tư công nghệ, nhưng một nghiên cứu mới cho thấy phía sau các con số hào nhoáng ấy đang tồn tại cả một nền kinh tế ngầm trị giá hàng triệu USD liên quan đến hoạt động mua bán sao giả cho startup AI và blockchain.

Theo nghiên cứu được trình bày tại hội nghị ICSE 2026 bởi các nhà khoa học từ Carnegie Mellon University, North Carolina State University và công ty bảo mật Socket, khoảng 6 triệu sao giả đã được tạo ra trên GitHub trong giai đoạn 2019-2024, tác động trực tiếp tới hơn 18.600 repository và liên quan tới khoảng 301.000 tài khoản khác nhau.

Nhóm nghiên cứu đã sử dụng công cụ StarScout để quét tới 20 terabyte dữ liệu GitHub, tương đương 6,7 tỷ sự kiện và 326 triệu lượt gắn sao, qua đó phát hiện tình trạng thao túng đang bùng nổ mạnh kể từ năm 2022 khi các startup AI bắt đầu bước vào cuộc đua gọi vốn hàng tỷ USD trên toàn cầu.

Điều đáng chú ý là thị trường mua bán sao GitHub hiện vận hành như một ngành dịch vụ hoàn chỉnh khi nhiều website công khai bán sao với giá chỉ từ 0,03 USD mỗi lượt, trong khi các gói “cao cấp” sử dụng tài khoản lâu năm có lịch sử hoạt động thật được bán với giá gần 1 USD mỗi sao nhằm tránh bị GitHub phát hiện và xóa bỏ.

Theo các quỹ đầu tư mạo hiểm tại Thung lũng Silicon, số sao GitHub hiện đã trở thành một chỉ số tăng trưởng quan trọng để đánh giá startup AI, khiến nhiều công ty sẵn sàng bỏ vài trăm USD mua sao giả nhằm tạo cảm giác dự án đang được cộng đồng lập trình viên quan tâm mạnh trước khi tiếp cận các vòng gọi vốn trị giá hàng triệu USD.

Nghiên cứu cũng chỉ ra hàng loạt startup AI nổi tiếng như Lovable, Browser-use hay LangChain từng tăng trưởng cực nhanh về số sao GitHub trước khi huy động thành công các khoản đầu tư lớn, trong đó có startup đạt định giá tới 1,8 tỷ USD chỉ sau thời gian ngắn xuất hiện trên thị trường AI tạo sinh.

Các chuyên gia cho biết dấu hiệu của repository dùng sao giả thường nằm ở tỷ lệ fork thấp bất thường, số lượng lớn tài khoản không có follower, không có repository riêng hoặc gần như không có lịch sử hoạt động, cho thấy rất nhiều lượt “thả sao” thực chất chỉ là tương tác ảo nhằm thao túng thuật toán đề xuất của GitHub.

Dù GitHub đã bắt đầu xóa hàng loạt tài khoản và repository liên quan đến hoạt động gian lận, đồng thời FTC Mỹ cũng siết chặt quy định về việc mua bán chỉ số ảnh hưởng giả trên Internet, nhưng cho đến nay gần như chưa có vụ truy tố hình sự nào liên quan trực tiếp tới hành vi mua sao GitHub để gọi vốn, khiến nền kinh tế ngầm phía sau cơn sốt AI vẫn còn rất nhiều đất sống.