14 万颗星、293 个 fork:涨星榜上最快的那批,为什么一个都别跟
伊斯兰堡一个人的 30 个库每天整齐地涨两百颗星;一个挖矿「安装包」一夜 506 星、0 个 fork;Switch 游戏跑上了 iPhone,一周近六千颗星;中国区效率榜上一个叫 Codex 的 App,评分 4.7,评论区全是「被骗了」。GitHub 涨星榜和 App Store 工具榜上涨得最快的,有不少是这一类:星和下载都是真的,但它们是别人的东西——游戏、模型额度、品牌名——借来的,删库、封号、退款那天就清零。
一个人的 30 个库,每天整齐地涨两百颗星
10 月 19 日,巴基斯坦伊斯兰堡的 Ahmad Hassan 名下 7 个 GitHub 库在同一天起飞:前一阵它们每个每天只涨 5 到 18 颗星,这一天每个涨了 265 到 474 颗,第二天 549 到 939 颗,之后稳定在一两百颗。他在 GitHub 上自称「分布式系统与机器学习基础设施架构师」,1.06 万个关注者。他名下有 30 个公开库:一个甘特图引擎、一个暗色主题、一个 Shopify 鉴权适配器、一个写给「Rose」的互动小游戏、他自己的个人主页模板……还有一个叫 Turnitout-Humanizer 的东西,README 第一句是「Bypass Turnitin, GPTZero, CopyLeaks」——绕过论文查重和 AI 检测。
这 30 个库有一个共同点:每个库每天都在涨星,而且涨得几乎一样多。11 月 3 日,30 个库加起来 144,813 颗星,fork 一共 293 个,fork 和星的比例是 0.2%。作为对照,GitHub 上 2026 年新建、超过 5,000 星的库,这个比例的中位数在 11% 左右。他放主页模板的 .github 库——一个没有简介、里面只有一个 README、一个网页和一份 three.js 的库——4,008 颗星,0 个 fork。
名下另外 23 个库也是同样的涨法:同一段时间起涨,之后每天的涨幅几乎一样。

刷星能换来什么?Turnitout-Humanizer 的 README 给了答案。顶部一排徽章:官网、在线 App、「Enterprise API」文档、WhatsApp「开发者支持」、「赞助与捐赠」;再往下一节叫「Achievements」,放的是 Trendshift 日榜和周榜的上榜徽章。星把库送上趋势榜,趋势榜的徽章再拿来当信誉,最后落到一个 WhatsApp 号码上。他没有公开过任何收入,这条路到底换回多少钱,外人看不到。
「过查重」这件事本身是有人付钱的,只是钱不在 GitHub 上。同一类产品在 Meta 广告库上在投的有 Phrasly.AI(238 条)、Undetectable AI(63 条)、GPTHuman(53 条),11-03 的数;TrustMRR 上,Lunchbreak 30 天收了 $34,899,正挂牌卖 $150 万,另一家 Humanize AI Text 30 天 $26,241(支付平台校验,11-03 快照)。它们是公司,自己买量、自己接支付、自己扛学校和 Turnitin 的军备竞赛。一个刷出来的 1.1 万星仓库,和这门生意之间隔着的,正是那些它绕不过去的东西。
一个挖矿「安装包」,506 颗星,0 个 fork
比刷星更糟的是拿星当诱饵。11 月 2 日,一个叫 ProsecutorList 的账号建了一个库,名叫 monero-miner。简介是「Monero Miner 2026: Full working installer for professional desktop mining operations」,README 自称「预激活的独立构建」,然后教你按 Win + X 打开 PowerShell,把一行命令粘进去回车——那行命令从一个外部域名拉一段脚本下来执行。这个库只有 1 次提交,18 小时后有 506 颗星、0 个 fork、0 个关注。

这不是一个库,是一条流水线。按简介和话题里带「pre-activated」「full working installer」「activator」「crack」「aimbot」这类词的库来数:10 月 26 日那一周新建的这类库有 532 个,525 个 fork 不超过 1 个,530 个出自「只有这一个库」的账号。到 11 月 3 日,其中 480 个已经从 GitHub 上消失——抽查的几个,库和账号都是 404。但 11 月 2、3 日两天又新建了 125 个。
你会在榜上撞见它们,是因为门槛低:GitHub 官方的 trending 基本不收新库(建库不满 60 天的,我们没见过一个上榜),但所有「按涨星找新项目」的工具和榜单都会把它们捞上来。一个刷到 400 星的新库,在「本周新冒出来」里排得比大多数真项目都靠前。谁在这里赔钱?是点进去、照着粘贴命令的人。
Switch 游戏跑上了 iPhone:星是真的,做的人是谁
前两种是假热。第三种热是真的,也更有迷惑性。
10 月 13 日,GitHub 用户 seedds 建了 nxnative:「把你自己的 Switch 游戏原生跑在 iPhone 和 iPad 上。带上你的游戏(NSP 文件)和你的 prod.keys,一个脚本把它们变成一个可以侧载的 IPA。」它强调自己不是模拟器:游戏自己的代码直接跑在苹果芯片上,图形用 Metal 重建。方法来自一个把《暗黑破坏神 2:重制版》搬上手机的项目 d2r-mobile,着色器翻译用的是 Ryujinx 的代码,读 NSP 用的是 LibHac。

这次的星和 fork 是对得上的。11 月 3 日 nxnative 11,355 星、1,853 个 fork(16%),单日最多的一天是 10 月 28 日,+2,743。它下面已经长出了一圈「壳」:NX2Apple(LNPANDY,2,973 星)、NX Play、NxNative Launcher、LumaNX,做的都是「不用开终端,点几下就把游戏装进 iPhone」。同一批里还有:
totk-pc-recomp · Valiantsin Dzerakh10-29 建库 · 11-03 3,881 星
把《塞尔达传说:王国之泪》静态重编译成原生 Windows / Linux 程序,支持 144 帧、超宽屏、模组。建库第三天一天 +1,037、第四天 +1,177。README 写着:「你需要自己从自己主机里导出的正版游戏……生成的结果里包含游戏本身,只供自用,不要分享。」README 里挂了一个俄语区打赏平台 DonationAlerts 的链接,这是这一批里唯一能看到的收钱入口。
AnyPS5 · boykopovar白俄罗斯 · 08-03 建库 · 11-03 50,681 星
把 PS5 可执行文件自动移植到 Linux 和 Windows,还有一个「文件不出浏览器」的网页转换器。作者自我介绍是「逆向工程 · 协议分析」,账号 2024 年 10 月注册。最近 7 天 +2,132,前 7 天 +3,641,在降温。有 Discord,没有赞助。
MacNativeGames · Yong Li;NX2Apple · LNPANDY杜塞尔多夫 / 未公开
一个把《王国之泪》《旷野之息》原生搬上 Apple 芯片 Mac(10-17 建,6,868 星),一个给 nxnative 做 Mac 图形界面(10-20 建,2,973 星,自带简体中文 README)。
做这些的是什么人?看约 20 个 1,000 星以上的移植库,作者账号大多不新:seedds 2013 年注册、51 个公开库,MacNativeGames 的 Yong Li 2012 年注册、108 个库,真正 2026 年才注册的只有三四个。他们的共同点是另外两件事:几乎不露真名,也几乎没有收钱的地方。
主机游戏移植 / 重编译 / 反编译峰值 10-12 那周 227 个
破甲 / 免费模型 / 账号池反代峰值 10-12 那周 42 个
借 REA 名头的「逆向一切」10-12 那周 17 个,10-26 那周 2 个
「已激活 / 完整安装包」诱饵10-26 那周 532 个
还能火多久:任天堂已经在删了
为什么说它们没有终点?GitHub 把收到的每一份 DMCA 通知都公开在 github/dmca 这个仓库中。8 月到 11 月初,任天堂署名的通知有 12 份。8 月 17 日一天 7 份,其中一份把 suyu(yuzu 的分支)连同 311 个 fork 整个网络一起下架,依据是「绕过技术保护措施」——Switch 的密钥就是那道保护措施;10 月 1 日两份,下架 Ryujinx 的镜像和一个叫 nswitch 的项目;10 月 23 日一份,对象是《节奏天国》的反编译项目,理由是反编译出来的代码本身就是未经授权的衍生作品。那个库现在打开是这样的:

任天堂不是唯一一家。10 月 2 日建的 wowdecomp(《魔兽世界》反编译)涨到 424 星,10 月 29 日原库消失;同名新库只剩一句话:

一个自称有「1,800 多款游戏」的 PS5 破解商店 overdrive(1,363 星)10 月 27 日之后消失,现在库和账号都是 404;一个《超级马力欧兄弟 惊奇》的重编译库(369 星)10 月 22 日之后也成了 404。GitHub 公开的 DMCA 目录里还没有对应的通知,是谁让删的外人看不到,但结果一样。连「工具层」也站不住:10 月 13 日上线、让 AI agent 把你拥有的游戏反编译成逐字节一致的 C 代码的 decomp.wtf,两天后就被作者归档了,理由是「反编译社区——这一切所依赖的那些工具和项目的作者——反对这样用 AI 反编译」。
到 11 月 3 日,nxnative、totk-pc-recomp、AnyPS5 都还在。这条线不是一刀切的:N64Recomp 和《梦幻之镜》的重编译 Zelda64Recomp 2023 年起就在 GitHub 上,7,582 星,三年没被动;它们不带任何游戏文件,也不需要绕过加密。nxnative 则要你提供 prod.keys,里面还带着 Ryujinx 的代码——yuzu 2024 年被任天堂起诉、以 240 万美元和解,诉状的核心就是绕过密钥;Ryujinx 同年在任天堂找上门后停更。我们的推断是:不碰密钥、不带代码和素材的重编译能活;碰了的,删只是时间问题,而且删的时候会连同 fork 一起删。
免费用模型:作者自己先喊停,赚钱的是倒卖的人
第四种灰色流量是「白用模型」。DeepSeek Harness 生态里星最多的两个插件——免费模型反代 dsh-our-free-model(11-03 57,221 星)和破甲插件 dsh-purge(16,177 星)——我们在 [010] 里写过了,dsh-purge 的作者「被找去谈过话」。生态外面也一样。
gpt-instruct 是一套给 Codex 用的「破甲」提示词和评测工具,11,087 星。作者 MDX Tom 的 GitHub 简介写着北大本科、清华硕士,做 AI 与无线卫星通信。他的 README 里有两句话很说明问题:
「本项目不会用于任何商业化行为,包括但不限于创业融资宣传、技术授权转让和付费技术服务。」
「从事破甲活动、使用自定义模型指令存在账号风险,建议在日抛账号上使用。」MDX-Tom/gpt-instruct README,11-03
另一头是把腾讯 WorkBuddy(CodeBuddy)账号包成 OpenAI 兼容 API 的「账号池反代」。上游 Sliverkiss/workbuddy2api 已经删库;它的增强分支 workbuddy2api-panel(4,678 星、1,657 个 fork)10 月 21 日宣布停止维护,置顶写了三条原因:

和 dsh-purge 一样,第一批把这类工具变成钱的,是把它加壳、配卡密、开「公益中转」卖额度的人,不是作者。作者拿到的是星、一份停更声明,以及「上游的今天可能就是本项目的明天」。已经走到那一天的还有几个:一个 GPT 5.6 破甲框架(911 星)、dsh-purge 的非官方分支(546 星)、一份「35 条 AI 越狱提示词」(424 星)、一个「绕过 AI 检测」的改写工具(727 星),11 月 3 日全是 404。这一类每周新建的库,10 月 12 日那周 42 个,10 月 26 日那周 16 个。
顺带一句 REA。「Reverse Engineer Anything」(morluto/rea)本身是个 42 万星的正经工具,但 10 月中旬借它名头的库一周十几个——「基于 REA 深度拆解并高保真还原 Claude 官方桌面端 UI」(1,664 星)是典型。10 月 26 日那周只剩 2 个,主库最近 7 天 +28,943,前 7 天 +51,258。这股热已经退了。
App Store 那一头:蹭个名字,直接收钱
GitHub 上的灰色流量大多不收钱。App Store 上的这一种,收钱是唯一目的。
10 月 23 日,中国区一个用户给「Codex AI - Remote Codex」写了一条一星评论:「诈骗软件,和 openai 的 codex 一点关系都没有,被骗了 398 也追不回来,大家别被骗了。」

它 6 月 30 日首发,开发者名下在榜上只看得到这一个 App。10 月 28 日到 11 月 3 日,它在中国区效率免费榜排第 32 到 46 名,同时在效率畅销榜排第 29 到 64 名——这说明真有人在付钱。订阅分周、月、年三档,发「代币」,图片视频生成接的是 OpenAI 和 fal.ai;「远程 Codex」功能还要求你自己另有一个付费的 Codex 账号。
评分 4.71,评分数 7 天里从 273 涨到 493。可中国区能看到的 15 条最新文字评论里,11 条是一星。
诈骗软件,和openai的codex一点关系都没有,被骗了398也追不回来,大家别被骗了10-23 · cn · 版本 2.6
蹭opend ai开发的codex,别被骗了10-21 · cn
缴了费,用不了啥功能,被骗了,别给钱10-28 · cn · 版本 3.0
不好用,请退款6810-28 · cn · 版本 3.0
评分高、文字评论一边倒,通常意味着评分不是同一批人打的(推断)。它的简介最后其实写了一句「为独立开发的应用,并非 OpenAI 官方应用,也未获 OpenAI 背书」(至少 10-28 起就在)——写在要点开「更多」才看得到的地方,而名字叫 Codex,图标是一个终端提示符。Google 广告透明中心、Meta 广告库和 TikTok 欧洲广告库上都看不到它在投广告,流量多半来自用户在 App Store 里搜「Codex」(推断)。
这一招在全世界都有人用。「Hp Smart App」(开发者 Faisal Saeed,也是 6 月 30 日首发)在 98 个区上过榜,其中 38 个区上了分类畅销榜;一位越南用户说破了它的来路:
「冒充真的 HP App。Hp Smart App 已经不存在了,HP 现在只用一个就叫『HP』的 App。」10-21 · vn · 一星
HP 把自家 App 改名,把「HP Smart」这个用户搜了好几年的名字空了出来,别人接住了。周订阅 $6.99、月 $14.99、年 $39.99、终身 $79.99。差评说的都是一件事:「试用一点下去就扣钱了」(越南)、「3 天后开始收费,不知道去哪取消」(墨西哥)、「不是官方 App,却用误导性的名字让你订阅」(法国)。另一位墨西哥用户说「装上之后 App 名字就变了」——它在美区的名字现在是「Printer App - Smart Printer」,副标题「App for Hp Smart」。

同类还有印度区工具免费榜第 34–35 名的「Truecaller : Caller ID & Block」(开发者 Yoto Kimura,9 月 14 日首发,和 Truecaller 的公司无关)。也别一看到大牌名字就判蹭名:App Store 上的「Meshy AI 3D Generator」开发者是 Meshy LLC,定价($19.99/月)和官网一致,评论也在拿它和网页版比,是官方的。
这一门生意没有 GitHub 那一头的法律风险那么直接,风险落在两个地方:苹果的审核随时可能因为品牌方投诉下架它,用户可以找苹果退款。苹果不公开收入,它们赚了多少外人算不出来;能确定的是,它们赚的每一笔,都是从以为自己买的是 Codex、是 HP 的人那里来的。
你看的涨星榜里,有多少是这些
看 GitHub 涨星榜、App Store 工具榜,是想找「什么项目受欢迎」。把建库 120 天以内、最近 7 天涨星最多的 30 个库排出来,再把伊斯兰堡那 30 个库合成一行放在最上面:
所以读涨星榜之前,先把这几种剔掉。下面几条,在 GitHub 和 App Store 的页面上都能一眼看到:
| 看什么 | 怎么判断 | 这篇里的例子 |
|---|---|---|
| fork / 星 | 新库过 5,000 星时一般在 10% 上下;低于 1% 要警惕,0 个 fork 几乎可以直接判 | Ahmad Hassan 30 个库 0.2%;monero-miner 506 : 0 |
| 星数是不是整数 | 恰好 68、100、200、400 星,同一天建的一批库星数一模一样 | 10-29 六个「激活」库各 68 星 |
| 涨法是不是太整齐 | 多个库同一天起涨、每天涨幅差不多 | 10-19 七个库一起从 10 颗跳到 300 颗 |
| README 要你提供什么 | 要你的密钥 / 游戏文件 / 账号 token,或让你粘一行 PowerShell | nxnative 要 prod.keys;workbuddy2api 要账号池 |
| 简介里的词 | pre-activated、full working installer、破甲、2api、反代、bypass Turnitin | 见上面四类 |
| App 的名字是谁的 | 名字里是别人的品牌,开发者是个人名、名下只有一个 App;评分很高但文字评论一边倒 | Codex AI、Hp Smart App |
如果是你
别做。这些星和下载是真的,但不是你的:它们来自别人的游戏、别人的模型额度、别人的品牌名,或者干脆是买来的。删库、封号、退款那天,全部归零。
- 适合谁
- 没有人适合「做」这个方向。只有两种人该认真读它:天天看涨星榜、App 榜找方向的人(先去噪,再判断);以及做逆向、重编译、安全测试这类正经工具的人——你得知道线画在哪。
- 不适合谁
- 任何想积累名声或收入的人。做游戏移植、破甲反代的作者匿名、不收钱,不是因为高尚,是因为一收钱就成了被告;做蹭名 App 的人收到了钱,代价是用户的退款、苹果的下架和一份可以被追溯的开发者账号。
- 怎么做
- 这个方向本身没法做。如果你就是想做相邻的正经事:做不碰密钥、不带代码和素材的通用工具层(N64Recomp 那样,三年没人动它),或者做有授权的对抗测试——TrustMRR 上 Audn(给授权测试者的对抗性 LLM 基础设施)30 天 $26,896、Shannon AI($9,596,见 [010])都是自己扛合规的公司形态。破甲提示词、账号池、prod.keys、加壳的「已激活」安装包,一样都别沾。
- 怎么获客
- 这个方向不存在可以复制的获客。刷星的人买 Trendshift 徽章,蹭名的人吃品牌词搜索,两样都会被平台收拾。
- 死线
- 没有死线,只有清零日。11 月 15 日回头看头部这几个库和 App 还在不在,就知道清零走到哪一步了。
- 什么情况算看错
- ① 任天堂或索尼公开表示不追究「不带游戏文件、不需要密钥」的重编译工具,同时 nxnative、AnyPS5 这类项目撑到 2027 年并公开拿到每月 $1,000 以上的赞助;② 反编译社区接受 AI 反编译,decomp.wtf 这类工具复活并有赞助收入;③ 某家模型厂商官方开放免费额度加插件分成,让「免费用模型」变成合法分发(那时转去看 [010]);④ Codex AI、Hp Smart App 这类蹭名 App 在 12 月底前还没被下架,而且换成自己的名字后依然留在畅销榜上——那说明产品本身有价值,名字只是起量手段。
最后一句给所有做产品的人:星和下载是流量,不是资产。读任何一张榜,先问这颗星是谁的——是用户冲着你做的东西给的,还是冲着别人的游戏、别人的模型、别人的品牌给的,或者是有人花钱按 100 颗一包买的。只有第一种,删库那天还在。
数据与出处
- GitHub:50 星以上的库每天的星数与 fork 数(10-28 起每天一次,部分库从 10-09 起),近 45 天新建、20 星以上的库也计入,截至 2026-11-03。「消失」指 11-03 已打不开(404 / 451)。作者注册时间、关注者、README、赞助链接为 11-03 现查。没有逐个看给星的账号,「刷星」是从涨法、整数星数和 fork 比例推断的。
- 四类灰色库的归类:按简介、库名、话题里的关键词,数字只看趋势。
- DMCA:github/dmca 公开仓库,2026/08–2026/11 目录,按文件名里的权利人筛选并读了任天堂的 12 份。yuzu 和解、Ryujinx 停更是 2024 年的公开报道。
- App Store:115 个区免费、付费、畅销三榜的每日名次与评分(10-28 起);评论是 22 个主要区各自最新的一批;订阅价格和页面文字来自 apps.apple.com(11-03)。苹果不提供下载量和收入。
- 收入:TrustMRR(支付平台校验)——Lunchbreak、Humanize AI Text、Audn,11-03 快照。
- 广告:Meta 广告库、Google 广告透明中心、TikTok 广告库(只覆盖投到欧洲的广告),11-01 起观察;「看不到在投」只说明这几天没在这些地方投。