アップストリームが信用できないという問題は、はっきり言って社会的信用とか個人的交友を活用しないとうまい判断はできないように思うし、そこに拘泥するのはあまり建設的でなさそうという感想を持っている
あるいは雑に言うなら「自分で安全性を設計図から実装まですべて確認したものしか使わない人間が、文明社会で生きていけるか」という話
大事なのは、自分が使っている何物かを不審に思ったとき、「分解なり調査なりで安全性をある程度判定できる」であるとか「他人の調査や判定を参考に自分の判断を下せるだけの知識と情報開示がある」という、それが可能であるという性質であって。
可能であることと常にやることには大きなギャップがある
少なくとも OSS はそれを妨げないし、プロプライエタリソフトウェアはそれを妨げる(場合がほとんど)。