открытые исходники тож проверять надо, быстрее конечно чем реверсить, но кто это делает регулярно то
так чтобы туда что то плохое добавить надо сначала это провести через ривьюверов, которые в больших проектах разбросаны по миру обычно и ирл даже не знают друг друга