OSSの悪意があるコード、マージするときのチェックのタイミングか、コミット全部見てる人か、変な動作に気が付いた人にしか見つけられないだろうしなぁ。