什么值得做
[079]反面GitHub · App Store 去噪数据截至 2026-11-03

14 万颗星、293 个 fork:涨星榜上最快的那批,为什么一个都别跟

伊斯兰堡一个人的 30 个库每天整齐地涨两百颗星;一个挖矿「安装包」一夜 506 星、0 个 fork;Switch 游戏跑上了 iPhone,一周近六千颗星;中国区效率榜上一个叫 Codex 的 App,评分 4.7,评论区全是「被骗了」。GitHub 涨星榜和 App Store 工具榜上涨得最快的,有不少是这一类:星和下载都是真的,但它们是别人的东西——游戏、模型额度、品牌名——借来的,删库、封号、退款那天就清零。

一个人的 30 个库,每天整齐地涨两百颗星

10 月 19 日,巴基斯坦伊斯兰堡的 Ahmad Hassan 名下 7 个 GitHub 库在同一天起飞:前一阵它们每个每天只涨 5 到 18 颗星,这一天每个涨了 265 到 474 颗,第二天 549 到 939 颗,之后稳定在一两百颗。他在 GitHub 上自称「分布式系统与机器学习基础设施架构师」,1.06 万个关注者。他名下有 30 个公开库:一个甘特图引擎、一个暗色主题、一个 Shopify 鉴权适配器、一个写给「Rose」的互动小游戏、他自己的个人主页模板……还有一个叫 Turnitout-Humanizer 的东西,README 第一句是「Bypass Turnitin, GPTZero, CopyLeaks」——绕过论文查重和 AI 检测。

这 30 个库有一个共同点:每个库每天都在涨星,而且涨得几乎一样多。11 月 3 日,30 个库加起来 144,813 颗星,fork 一共 293 个,fork 和星的比例是 0.2%。作为对照,GitHub 上 2026 年新建、超过 5,000 星的库,这个比例的中位数在 11% 左右。他放主页模板的 .github 库——一个没有简介、里面只有一个 README、一个网页和一份 three.js 的库——4,008 颗星,0 个 fork。

4,517 – 6,148 颗 / 天AhmadHassan-BTed 名下 30 个库每天新增的星,10-29 → 11-03
020040060010-29 · 118 颗10-29 · 119 颗10-29 · 119 颗10-29 · 119 颗10-29 · 119 颗10-29 · 194 颗10-29 · 196 颗10-29 · 196 颗10-29 · 196 颗10-29 · 197 颗10-29 · 197 颗10-29 · 197 颗10-29 · 197 颗10-29 · 198 颗10-29 · 199 颗10-29 · 200 颗10-29 · 200 颗10-29 · 205 颗10-29 · 206 颗10-29 · 207 颗10-29 · 208 颗10-29 · 210 颗10-29 · 212 颗10-29 · 215 颗10-29 · 216 颗10-29 · 217 颗10-29 · 222 颗10-29 · 227 颗10-29 · 259 颗10-29 · 583 颗10-29 中位数 199.510-29合计 6,14810-30 · 124 颗10-30 · 125 颗10-30 · 125 颗10-30 · 125 颗10-30 · 126 颗10-30 · 166 颗10-30 · 167 颗10-30 · 168 颗10-30 · 168 颗10-30 · 169 颗10-30 · 169 颗10-30 · 169 颗10-30 · 170 颗10-30 · 170 颗10-30 · 170 颗10-30 · 172 颗10-30 · 172 颗10-30 · 173 颗10-30 · 173 颗10-30 · 174 颗10-30 · 175 颗10-30 · 177 颗10-30 · 179 颗10-30 · 182 颗10-30 · 183 颗10-30 · 183 颗10-30 · 184 颗10-30 · 192 颗10-30 · 223 颗10-30 · 509 颗10-30 中位数 17110-30合计 5,36210-31 · 125 颗10-31 · 125 颗10-31 · 125 颗10-31 · 126 颗10-31 · 126 颗10-31 · 189 颗10-31 · 192 颗10-31 · 193 颗10-31 · 193 颗10-31 · 194 颗10-31 · 195 颗10-31 · 195 颗10-31 · 196 颗10-31 · 196 颗10-31 · 196 颗10-31 · 197 颗10-31 · 198 颗10-31 · 198 颗10-31 · 198 颗10-31 · 199 颗10-31 · 200 颗10-31 · 203 颗10-31 · 204 颗10-31 · 210 颗10-31 · 211 颗10-31 · 212 颗10-31 · 212 颗10-31 · 229 颗10-31 · 247 颗10-31 · 567 颗10-31 中位数 196.510-31合计 6,05111-01 · 93 颗11-01 · 93 颗11-01 · 93 颗11-01 · 96 颗11-01 · 97 颗11-01 · 150 颗11-01 · 152 颗11-01 · 152 颗11-01 · 152 颗11-01 · 152 颗11-01 · 154 颗11-01 · 155 颗11-01 · 155 颗11-01 · 155 颗11-01 · 155 颗11-01 · 156 颗11-01 · 158 颗11-01 · 159 颗11-01 · 165 颗11-01 · 165 颗11-01 · 166 颗11-01 · 169 颗11-01 · 171 颗11-01 · 172 颗11-01 · 178 颗11-01 · 181 颗11-01 · 188 颗11-01 · 191 颗11-01 · 205 颗11-01 · 449 颗11-01 中位数 155.511-01合计 4,87711-02 · 81 颗11-02 · 82 颗11-02 · 83 颗11-02 · 85 颗11-02 · 85 颗11-02 · 140 颗11-02 · 140 颗11-02 · 140 颗11-02 · 140 颗11-02 · 140 颗11-02 · 141 颗11-02 · 141 颗11-02 · 143 颗11-02 · 143 颗11-02 · 143 颗11-02 · 145 颗11-02 · 145 颗11-02 · 146 颗11-02 · 149 颗11-02 · 150 颗11-02 · 151 颗11-02 · 153 颗11-02 · 153 颗11-02 · 159 颗11-02 · 160 颗11-02 · 161 颗11-02 · 182 颗11-02 · 193 颗11-02 · 204 颗11-02 · 439 颗11-02 中位数 14411-02合计 4,51711-03 · 113 颗11-03 · 113 颗11-03 · 113 颗11-03 · 114 颗11-03 · 115 颗11-03 · 174 颗11-03 · 174 颗11-03 · 175 颗11-03 · 176 颗11-03 · 176 颗11-03 · 178 颗11-03 · 178 颗11-03 · 179 颗11-03 · 179 颗11-03 · 180 颗11-03 · 182 颗11-03 · 182 颗11-03 · 183 颗11-03 · 183 颗11-03 · 184 颗11-03 · 186 颗11-03 · 188 颗11-03 · 192 颗11-03 · 196 颗11-03 · 197 颗11-03 · 199 颗11-03 · 200 颗11-03 · 213 颗11-03 · 219 颗11-03 · 439 颗11-03 中位数 18111-03合计 5,480
每条橙色短线是一个库一天涨的星,30 条叠在一起越密颜色越深;黑横线是当天的中位数(145–200 颗),竖线是最少到最多。没有哪个库掉到 80 颗以下,也没有哪个库冲过 600 颗——真实的关注不会这么整齐。来源:GitHub 星数逐日快照。

名下另外 23 个库也是同样的涨法:同一段时间起涨,之后每天的涨幅几乎一样。

AhmadHassan-BTed 的仓库列表
他的仓库列表前三个,按星排序,11-03 截图。11,605 星对 245 个 fork、6,194 星对 17 个 fork;第三个是他从别人那里 fork 来的库,也有 6,041 颗星。右边每条小曲线都是平的,然后在同一段时间竖起一根针。

刷星能换来什么?Turnitout-Humanizer 的 README 给了答案。顶部一排徽章:官网、在线 App、「Enterprise API」文档、WhatsApp「开发者支持」、「赞助与捐赠」;再往下一节叫「Achievements」,放的是 Trendshift 日榜和周榜的上榜徽章。星把库送上趋势榜,趋势榜的徽章再拿来当信誉,最后落到一个 WhatsApp 号码上。他没有公开过任何收入,这条路到底换回多少钱,外人看不到。

「过查重」这件事本身是有人付钱的,只是钱不在 GitHub 上。同一类产品在 Meta 广告库上在投的有 Phrasly.AI(238 条)、Undetectable AI(63 条)、GPTHuman(53 条),11-03 的数;TrustMRR 上,Lunchbreak 30 天收了 $34,899,正挂牌卖 $150 万,另一家 Humanize AI Text 30 天 $26,241(支付平台校验,11-03 快照)。它们是公司,自己买量、自己接支付、自己扛学校和 Turnitin 的军备竞赛。一个刷出来的 1.1 万星仓库,和这门生意之间隔着的,正是那些它绕不过去的东西。

一个挖矿「安装包」,506 颗星,0 个 fork

比刷星更糟的是拿星当诱饵。11 月 2 日,一个叫 ProsecutorList 的账号建了一个库,名叫 monero-miner。简介是「Monero Miner 2026: Full working installer for professional desktop mining operations」,README 自称「预激活的独立构建」,然后教你按 Win + X 打开 PowerShell,把一行命令粘进去回车——那行命令从一个外部域名拉一段脚本下来执行。这个库只有 1 次提交,18 小时后有 506 颗星、0 个 fork、0 个关注。

一个诱饵库的页面
ProsecutorList/monero-miner,11-03 截图。右侧:506 stars、0 watching、0 forks;下面就是让你粘贴进 PowerShell 的那行命令(我们截掉了域名)。

这不是一个库,是一条流水线。按简介和话题里带「pre-activated」「full working installer」「activator」「crack」「aimbot」这类词的库来数:10 月 26 日那一周新建的这类库有 532 个,525 个 fork 不超过 1 个,530 个出自「只有这一个库」的账号。到 11 月 3 日,其中 480 个已经从 GitHub 上消失——抽查的几个,库和账号都是 404。但 11 月 2、3 日两天又新建了 125 个。

100、68、20010-26 以来新建的 657 个诱饵库,最常见的三个星数
125
185
50
113
29
9
146
68 星100 星138 星200 星300 星400 星其他
诱饵库的星数不是自然分布,而是一档一档的整数:恰好 100 星的 185 个,恰好 68 星的 125 个,恰好 200 星的 113 个。10 月 29 日同一天建的六个「Windows 激活」「WinRAR 绕过」「QuickBooks 激活」库,每个都是 68 星、0 个 fork。星是按包买的。来源:GitHub 上近 45 天新建、20 星以上的库,11-03。

你会在榜上撞见它们,是因为门槛低:GitHub 官方的 trending 基本不收新库(建库不满 60 天的,我们没见过一个上榜),但所有「按涨星找新项目」的工具和榜单都会把它们捞上来。一个刷到 400 星的新库,在「本周新冒出来」里排得比大多数真项目都靠前。谁在这里赔钱?是点进去、照着粘贴命令的人。

Switch 游戏跑上了 iPhone:星是真的,做的人是谁

前两种是假热。第三种热是真的,也更有迷惑性。

10 月 13 日,GitHub 用户 seedds 建了 nxnative:「把你自己的 Switch 游戏原生跑在 iPhone 和 iPad 上。带上你的游戏(NSP 文件)和你的 prod.keys,一个脚本把它们变成一个可以侧载的 IPA。」它强调自己不是模拟器:游戏自己的代码直接跑在苹果芯片上,图形用 Metal 重建。方法来自一个把《暗黑破坏神 2:重制版》搬上手机的项目 d2r-mobile,着色器翻译用的是 Ryujinx 的代码,读 NSP 用的是 LibHac。

nxnative 的 GitHub 页面
seedds/nxnative,11-03 截图:11.5k 星、1.9k fork、129 个贡献者、894 次提交。README 第一段就要你准备好自己的 NSP 和 prod.keys。

这次的星和 fork 是对得上的。11 月 3 日 nxnative 11,355 星、1,853 个 fork(16%),单日最多的一天是 10 月 28 日,+2,743。它下面已经长出了一圈「壳」:NX2Apple(LNPANDY,2,973 星)、NX Play、NxNative Launcher、LumaNX,做的都是「不用开终端,点几下就把游戏装进 iPhone」。同一批里还有:

  • totk-pc-recomp · Valiantsin Dzerakh10-29 建库 · 11-03 3,881 星
    把《塞尔达传说:王国之泪》静态重编译成原生 Windows / Linux 程序,支持 144 帧、超宽屏、模组。建库第三天一天 +1,037、第四天 +1,177。README 写着:「你需要自己从自己主机里导出的正版游戏……生成的结果里包含游戏本身,只供自用,不要分享。」README 里挂了一个俄语区打赏平台 DonationAlerts 的链接,这是这一批里唯一能看到的收钱入口。
  • AnyPS5 · boykopovar白俄罗斯 · 08-03 建库 · 11-03 50,681 星
    把 PS5 可执行文件自动移植到 Linux 和 Windows,还有一个「文件不出浏览器」的网页转换器。作者自我介绍是「逆向工程 · 协议分析」,账号 2024 年 10 月注册。最近 7 天 +2,132,前 7 天 +3,641,在降温。有 Discord,没有赞助。
  • MacNativeGames · Yong Li;NX2Apple · LNPANDY杜塞尔多夫 / 未公开
    一个把《王国之泪》《旷野之息》原生搬上 Apple 芯片 Mac(10-17 建,6,868 星),一个给 nxnative 做 Mac 图形界面(10-20 建,2,973 星,自带简体中文 README)。

做这些的是什么人?看约 20 个 1,000 星以上的移植库,作者账号大多不新:seedds 2013 年注册、51 个公开库,MacNativeGames 的 Yong Li 2012 年注册、108 个库,真正 2026 年才注册的只有三四个。他们的共同点是另外两件事:几乎不露真名,也几乎没有收钱的地方。

227 → 86每周新建的游戏移植类库,10-12 那周 → 10-26 那周

主机游戏移植 / 重编译 / 反编译峰值 10-12 那周 227 个

08-03 那周新建 20 个08-10 那周新建 14 个08-17 那周新建 14 个08-24 那周新建 23 个08-31 那周新建 25 个09-07 那周新建 24 个09-14 那周新建 54 个09-21 那周新建 74 个09-28 那周新建 127 个10-05 那周新建 178 个10-12 那周新建 227 个22710-19 那周新建 172 个10-26 那周新建 86 个08-0308-3109-2810-26

破甲 / 免费模型 / 账号池反代峰值 10-12 那周 42 个

08-03 那周新建 14 个08-10 那周新建 16 个08-17 那周新建 14 个08-24 那周新建 9 个08-31 那周新建 13 个09-07 那周新建 16 个09-14 那周新建 36 个09-21 那周新建 35 个09-28 那周新建 20 个10-05 那周新建 19 个10-12 那周新建 42 个4210-19 那周新建 29 个10-26 那周新建 16 个08-0308-3109-2810-26

借 REA 名头的「逆向一切」10-12 那周 17 个,10-26 那周 2 个

08-03 那周新建 0 个08-10 那周新建 0 个08-17 那周新建 0 个08-24 那周新建 0 个08-31 那周新建 0 个09-07 那周新建 0 个09-14 那周新建 0 个09-21 那周新建 0 个09-28 那周新建 0 个10-05 那周新建 8 个10-12 那周新建 17 个1710-19 那周新建 12 个10-26 那周新建 2 个08-0308-3109-2810-26

「已激活 / 完整安装包」诱饵10-26 那周 532 个

08-03 那周新建 1 个08-10 那周新建 2 个08-17 那周新建 2 个08-24 那周新建 25 个08-31 那周新建 0 个09-07 那周新建 10 个09-14 那周新建 6 个09-21 那周新建 231 个09-28 那周新建 14 个10-05 那周新建 49 个10-12 那周新建 108 个10-19 那周新建 49 个10-26 那周新建 532 个53208-0308-3109-2810-26
四类灰色库每周新建的数量(按建库那周的周一算;橙色是各自的峰值,四张图纵轴各自独立)。游戏移植、破甲反代、REA 三股都在 10 月中旬见顶回落;诱饵库是唯一还在加速的。只统计 50 星以上、或近 45 天新建且 20 星以上的库,所以 9 月中旬以前的周数偏低;按简介、库名、话题里的关键词归类,数字看趋势,不看绝对值。

还能火多久:任天堂已经在删了

为什么说它们没有终点?GitHub 把收到的每一份 DMCA 通知都公开在 github/dmca 这个仓库中。8 月到 11 月初,任天堂署名的通知有 12 份。8 月 17 日一天 7 份,其中一份把 suyu(yuzu 的分支)连同 311 个 fork 整个网络一起下架,依据是「绕过技术保护措施」——Switch 的密钥就是那道保护措施;10 月 1 日两份,下架 Ryujinx 的镜像和一个叫 nswitch 的项目;10 月 23 日一份,对象是《节奏天国》的反编译项目,理由是反编译出来的代码本身就是未经授权的衍生作品。那个库现在打开是这样的:

rhythmtengoku 被 DMCA 下架的页面
arthurtilly/rhythmtengoku,11-03:「Repository unavailable due to DMCA takedown」。GitHub API 显示封锁时间 10-23 16:24 UTC。

任天堂不是唯一一家。10 月 2 日建的 wowdecomp(《魔兽世界》反编译)涨到 424 星,10 月 29 日原库消失;同名新库只剩一句话:

wowdecomp 收到律师函后的页面
SatyPardus/wowdecomp,11-03:「Big ol' cease and decist(一封大大的停止侵权函)。反编译项目停止。我不会再反编译、逆向或参与任何暴雪或动视软件的反编译。」

一个自称有「1,800 多款游戏」的 PS5 破解商店 overdrive(1,363 星)10 月 27 日之后消失,现在库和账号都是 404;一个《超级马力欧兄弟 惊奇》的重编译库(369 星)10 月 22 日之后也成了 404。GitHub 公开的 DMCA 目录里还没有对应的通知,是谁让删的外人看不到,但结果一样。连「工具层」也站不住:10 月 13 日上线、让 AI agent 把你拥有的游戏反编译成逐字节一致的 C 代码的 decomp.wtf,两天后就被作者归档了,理由是「反编译社区——这一切所依赖的那些工具和项目的作者——反对这样用 AI 反编译」。

到 11 月 3 日,nxnative、totk-pc-recomp、AnyPS5 都还在。这条线不是一刀切的:N64Recomp 和《梦幻之镜》的重编译 Zelda64Recomp 2023 年起就在 GitHub 上,7,582 星,三年没被动;它们不带任何游戏文件,也不需要绕过加密。nxnative 则要你提供 prod.keys,里面还带着 Ryujinx 的代码——yuzu 2024 年被任天堂起诉、以 240 万美元和解,诉状的核心就是绕过密钥;Ryujinx 同年在任天堂找上门后停更。我们的推断是:不碰密钥、不带代码和素材的重编译能活;碰了的,删只是时间问题,而且删的时候会连同 fork 一起删。

免费用模型:作者自己先喊停,赚钱的是倒卖的人

第四种灰色流量是「白用模型」。DeepSeek Harness 生态里星最多的两个插件——免费模型反代 dsh-our-free-model(11-03 57,221 星)和破甲插件 dsh-purge(16,177 星)——我们在 [010] 里写过了,dsh-purge 的作者「被找去谈过话」。生态外面也一样。

gpt-instruct 是一套给 Codex 用的「破甲」提示词和评测工具,11,087 星。作者 MDX Tom 的 GitHub 简介写着北大本科、清华硕士,做 AI 与无线卫星通信。他的 README 里有两句话很说明问题:

「本项目不会用于任何商业化行为,包括但不限于创业融资宣传、技术授权转让和付费技术服务。」
「从事破甲活动、使用自定义模型指令存在账号风险,建议在日抛账号上使用。」MDX-Tom/gpt-instruct README,11-03

另一头是把腾讯 WorkBuddy(CodeBuddy)账号包成 OpenAI 兼容 API 的「账号池反代」。上游 Sliverkiss/workbuddy2api 已经删库;它的增强分支 workbuddy2api-panel(4,678 星、1,657 个 fork)10 月 21 日宣布停止维护,置顶写了三条原因:

workbuddy2api-panel 的停更声明
linguo2625469/workbuddy2api-panel 的停更声明,11-03 截图:上游开始禁用反代、个人精力有限、非法转卖泛滥——「发现大量批量注册小号、对外售卖额度、二次加壳 / 卡密分发的滥用行为」。

和 dsh-purge 一样,第一批把这类工具变成钱的,是把它加壳、配卡密、开「公益中转」卖额度的人,不是作者。作者拿到的是星、一份停更声明,以及「上游的今天可能就是本项目的明天」。已经走到那一天的还有几个:一个 GPT 5.6 破甲框架(911 星)、dsh-purge 的非官方分支(546 星)、一份「35 条 AI 越狱提示词」(424 星)、一个「绕过 AI 检测」的改写工具(727 星),11 月 3 日全是 404。这一类每周新建的库,10 月 12 日那周 42 个,10 月 26 日那周 16 个。

顺带一句 REA。「Reverse Engineer Anything」(morluto/rea)本身是个 42 万星的正经工具,但 10 月中旬借它名头的库一周十几个——「基于 REA 深度拆解并高保真还原 Claude 官方桌面端 UI」(1,664 星)是典型。10 月 26 日那周只剩 2 个,主库最近 7 天 +28,943,前 7 天 +51,258。这股热已经退了。

App Store 那一头:蹭个名字,直接收钱

GitHub 上的灰色流量大多不收钱。App Store 上的这一种,收钱是唯一目的。

10 月 23 日,中国区一个用户给「Codex AI - Remote Codex」写了一条一星评论:「诈骗软件,和 openai 的 codex 一点关系都没有,被骗了 398 也追不回来,大家别被骗了。」

Codex AI 的 App Store 页面
Codex AI - Remote Codex 的中国区页面,11-03:4.7 分、501 个评分、效率榜 #47;开发者 Ariadni Deligianni,标题下写的是「VibeCode」。页面上展示的两条评论,一条五星「能解决生活中大部分问题」,一条一星「怎么更新后进去就闪退?我还付了一周的钱!」

它 6 月 30 日首发,开发者名下在榜上只看得到这一个 App。10 月 28 日到 11 月 3 日,它在中国区效率免费榜排第 32 到 46 名,同时在效率畅销榜排第 29 到 64 名——这说明真有人在付钱。订阅分周、月、年三档,发「代币」,图片视频生成接的是 OpenAI 和 fal.ai;「远程 Codex」功能还要求你自己另有一个付费的 Codex 账号。

评分 4.71,评分数 7 天里从 273 涨到 493。可中国区能看到的 15 条最新文字评论里,11 条是一星。

★☆☆☆☆
诈骗软件,和openai的codex一点关系都没有,被骗了398也追不回来,大家别被骗了10-23 · cn · 版本 2.6
★☆☆☆☆
蹭opend ai开发的codex,别被骗了10-21 · cn
★☆☆☆☆
缴了费,用不了啥功能,被骗了,别给钱10-28 · cn · 版本 3.0
★☆☆☆☆
不好用,请退款6810-28 · cn · 版本 3.0

评分高、文字评论一边倒,通常意味着评分不是同一批人打的(推断)。它的简介最后其实写了一句「为独立开发的应用,并非 OpenAI 官方应用,也未获 OpenAI 背书」(至少 10-28 起就在)——写在要点开「更多」才看得到的地方,而名字叫 Codex,图标是一个终端提示符。Google 广告透明中心、Meta 广告库和 TikTok 欧洲广告库上都看不到它在投广告,流量多半来自用户在 App Store 里搜「Codex」(推断)。

这一招在全世界都有人用。「Hp Smart App」(开发者 Faisal Saeed,也是 6 月 30 日首发)在 98 个区上过榜,其中 38 个区上了分类畅销榜;一位越南用户说破了它的来路:

「冒充真的 HP App。Hp Smart App 已经不存在了,HP 现在只用一个就叫『HP』的 App。」10-21 · vn · 一星

HP 把自家 App 改名,把「HP Smart」这个用户搜了好几年的名字空了出来,别人接住了。周订阅 $6.99、月 $14.99、年 $39.99、终身 $79.99。差评说的都是一件事:「试用一点下去就扣钱了」(越南)、「3 天后开始收费,不知道去哪取消」(墨西哥)、「不是官方 App,却用误导性的名字让你订阅」(法国)。另一位墨西哥用户说「装上之后 App 名字就变了」——它在美区的名字现在是「Printer App - Smart Printer」,副标题「App for Hp Smart」。

Hp Smart App 在美区的页面
同一个 App 在美区的页面,11-03:名字换成了 Printer App,「Hp Smart」退到副标题里。

同类还有印度区工具免费榜第 34–35 名的「Truecaller : Caller ID & Block」(开发者 Yoto Kimura,9 月 14 日首发,和 Truecaller 的公司无关)。也别一看到大牌名字就判蹭名:App Store 上的「Meshy AI 3D Generator」开发者是 Meshy LLC,定价($19.99/月)和官网一致,评论也在拿它和网页版比,是官方的。

这一门生意没有 GitHub 那一头的法律风险那么直接,风险落在两个地方:苹果的审核随时可能因为品牌方投诉下架它,用户可以找苹果退款。苹果不公开收入,它们赚了多少外人算不出来;能确定的是,它们赚的每一笔,都是从以为自己买的是 Codex、是 HP 的人那里来的。

你看的涨星榜里,有多少是这些

看 GitHub 涨星榜、App Store 工具榜,是想找「什么项目受欢迎」。把建库 120 天以内、最近 7 天涨星最多的 30 个库排出来,再把伊斯兰堡那 30 个库合成一行放在最上面:

16%7 天涨星前 30 名里,三个灰色库拿走的份额(152,158 颗里的 24,881 颗);第 1、5、9 名
灰色流量其他一个人的 30 个刷星库合计
  • AhmadHassan-BTed 30 库 · 6 天合计32,435
  • 1. dsh-our-free-model · 免费模型反代12,616
  • 2. cleanyourtv11,916
  • 3. elephant-goldfish-model8,905
  • 4. Filee7,798
  • 5. dsh-purge · 破甲6,441
  • 6. deepseek-harness6,264
  • 7. ai-design-skills6,208
  • 8. ub-mode5,908
  • 9. nxnative · Switch 游戏移植5,824
  • 10. dsh-Go5,708
  • 11. gpu-unlock5,548
  • 12. OpenMausBot5,508
  • 13. magpie5,349
  • 14. Strata4,839
  • 15. openidea4,674
  • 16. TokenEconomizer4,201
  • 17. android-ad-cleaner4,141
  • 18. thinkrail3,736
  • 19. dossier3,508
  • 20. horizon3,488
  • 21. HowToLiveBetter3,266
  • 22. openGym3,190
  • 23. anatomy3,107
  • 24. lemo-opuscar3,094
  • 25. aerial-tv3,015
  • 26. photocraft2,936
  • 27. openbot2,902
  • 28. learnharness2,769
  • 29. OpenBot2,697
  • 30. DroidDeck2,602
建库 ≤120 天、7 天涨星最多的 30 个库,11-03。榜首是免费模型反代,第 5 是破甲,第 9 是 Switch 移植;如果把 AhmadHassan-BTed 的 30 个库当成一个项目,它 6 天的涨星比榜首 7 天还多一倍半。诱饵库单个星少,不在这张图上,但它们一周就是几百个。来源:GitHub 星数逐日快照。

所以读涨星榜之前,先把这几种剔掉。下面几条,在 GitHub 和 App Store 的页面上都能一眼看到:

看什么怎么判断这篇里的例子
fork / 星新库过 5,000 星时一般在 10% 上下;低于 1% 要警惕,0 个 fork 几乎可以直接判Ahmad Hassan 30 个库 0.2%;monero-miner 506 : 0
星数是不是整数恰好 68、100、200、400 星,同一天建的一批库星数一模一样10-29 六个「激活」库各 68 星
涨法是不是太整齐多个库同一天起涨、每天涨幅差不多10-19 七个库一起从 10 颗跳到 300 颗
README 要你提供什么要你的密钥 / 游戏文件 / 账号 token,或让你粘一行 PowerShellnxnative 要 prod.keys;workbuddy2api 要账号池
简介里的词pre-activated、full working installer、破甲、2api、反代、bypass Turnitin见上面四类
App 的名字是谁的名字里是别人的品牌,开发者是个人名、名下只有一个 App;评分很高但文字评论一边倒Codex AI、Hp Smart App

如果是你

E

别做。这些星和下载是真的,但不是你的:它们来自别人的游戏、别人的模型额度、别人的品牌名,或者干脆是买来的。删库、封号、退款那天,全部归零。

适合谁
没有人适合「做」这个方向。只有两种人该认真读它:天天看涨星榜、App 榜找方向的人(先去噪,再判断);以及做逆向、重编译、安全测试这类正经工具的人——你得知道线画在哪。
不适合谁
任何想积累名声或收入的人。做游戏移植、破甲反代的作者匿名、不收钱,不是因为高尚,是因为一收钱就成了被告;做蹭名 App 的人收到了钱,代价是用户的退款、苹果的下架和一份可以被追溯的开发者账号。
怎么做
这个方向本身没法做。如果你就是想做相邻的正经事:做不碰密钥、不带代码和素材的通用工具层(N64Recomp 那样,三年没人动它),或者做有授权的对抗测试——TrustMRR 上 Audn(给授权测试者的对抗性 LLM 基础设施)30 天 $26,896、Shannon AI($9,596,见 [010])都是自己扛合规的公司形态。破甲提示词、账号池、prod.keys、加壳的「已激活」安装包,一样都别沾。
怎么获客
这个方向不存在可以复制的获客。刷星的人买 Trendshift 徽章,蹭名的人吃品牌词搜索,两样都会被平台收拾。
死线
没有死线,只有清零日。11 月 15 日回头看头部这几个库和 App 还在不在,就知道清零走到哪一步了。
什么情况算看错
① 任天堂或索尼公开表示不追究「不带游戏文件、不需要密钥」的重编译工具,同时 nxnative、AnyPS5 这类项目撑到 2027 年并公开拿到每月 $1,000 以上的赞助;② 反编译社区接受 AI 反编译,decomp.wtf 这类工具复活并有赞助收入;③ 某家模型厂商官方开放免费额度加插件分成,让「免费用模型」变成合法分发(那时转去看 [010]);④ Codex AI、Hp Smart App 这类蹭名 App 在 12 月底前还没被下架,而且换成自己的名字后依然留在畅销榜上——那说明产品本身有价值,名字只是起量手段。

最后一句给所有做产品的人:星和下载是流量,不是资产。读任何一张榜,先问这颗星是谁的——是用户冲着你做的东西给的,还是冲着别人的游戏、别人的模型、别人的品牌给的,或者是有人花钱按 100 颗一包买的。只有第一种,删库那天还在。

数据与出处

  • GitHub:50 星以上的库每天的星数与 fork 数(10-28 起每天一次,部分库从 10-09 起),近 45 天新建、20 星以上的库也计入,截至 2026-11-03。「消失」指 11-03 已打不开(404 / 451)。作者注册时间、关注者、README、赞助链接为 11-03 现查。没有逐个看给星的账号,「刷星」是从涨法、整数星数和 fork 比例推断的。
  • 四类灰色库的归类:按简介、库名、话题里的关键词,数字只看趋势。
  • DMCA:github/dmca 公开仓库,2026/08–2026/11 目录,按文件名里的权利人筛选并读了任天堂的 12 份。yuzu 和解、Ryujinx 停更是 2024 年的公开报道。
  • App Store:115 个区免费、付费、畅销三榜的每日名次与评分(10-28 起);评论是 22 个主要区各自最新的一批;订阅价格和页面文字来自 apps.apple.com(11-03)。苹果不提供下载量和收入。
  • 收入:TrustMRR(支付平台校验)——Lunchbreak、Humanize AI Text、Audn,11-03 快照。
  • 广告:Meta 广告库、Google 广告透明中心、TikTok 广告库(只覆盖投到欧洲的广告),11-01 起观察;「看不到在投」只说明这几天没在这些地方投。

← 全部机会