Przesiadka na nowy sprzęt - antywirus itd

"ma 1500 contributorów (ludzi którzy nad nim pracują) i w pełni dostępny kod źródłowy, więc jakby ktoś próbował przemycić tam coś złośliwego to byłoby to błyskawicznie wyłapane."
Wybacz, ale nie do końca się z tobą tutaj zgodzę. Otwartoźródłowość jest tylko pierwszym krokiem do skutecznego znajdowania podatności. A złośliwy kod zazwyczaj nie jest opatrzony komentarzem "to jest złośliwy kod", ani też nie zawiera wiele mówiących nazw pokroju "backdoor".

Dobra, jest tych 1500 "dostawców" kodu, a w dodatku każdy postronny może sobie ten otwarty kod studiować. Teraz zadajmy sobie pytanie, ile osób tak naprawdę przejrzało całą bazę kodu i śledzi każdy nowy commit. I ilu z tych śledzących robi to pod kątem szukania czegoś złośliwego, a nie np., żeby sprawdzić, dlaczego próba kompilacji wywala błąd albo podpatrzenia jak programiści rozwiązali jakiś konkretny problem. I znów ilu z tych, którzy nie tylko pilnie śledzą kod, ale i robią to pod kątem bezpieczeństwa, rzeczywiście ma odpowiednią wiedzę, żeby ewentualne podatności znaleźć?

Dobrym przykładem będzie Linux. Otwarte źródło, wielu twórców, poważny projekt. To oznacza, że naprawdę sporo par oczu wpatruje się w kod. Można by więc pomyśleć, że wszystkie problemy będą błyskawicznie wyłapane. Tymczasem...
"Badacz bezpieczeństwa z Google odnalazł znaczną liczbę podatności w podsystemie USB jądra Linuxa [...] 22 problemy bezpieczeństwa, którym przypisano identyfikatory CVE [...] to nie były jedyne problemy, znalezione przez niego w jądrze Linuxa. W lutym [2017] zgłosił odkrycie podatności lokalnego wykonania kodu, która istniała w jądrze od ponad 11 lat. [... ] Analiza ponad 600 identyfikatorów CVE, przeprowadzona w zeszłym [2016] roku, wykazała, że przeciętna długość życia podatności w jądrze Linuxa, to 5 lat." https://www.securityweek.com/many-vulnerabilities-found-linux-usb-subsystem/

Ale poza tym, to zasadniczo się z tobą zgadzam. yt-dlp, pobrany bezpośrednio z GH powinien być bezpieczny. Chociaż mam pewne wątpliwości (nie za dużo zaangażowanych twórców, dość krótki czas istnienia, w każdym razie w tych nakładkach GUI, które widziałem), co do nakładek graficznych, pozwalających korzystać z niego jak cywilizowany człowiek, zamiast użerać się z parametrami wiersza poleceń.

"przy takiej ilości moderacji wrzucenie kodu download_credit_card_data() i liczenie że nikt się nie zorientuje jest prawie niemożliwe."
Tylko, jak pisałem, nikt rozsądny nie wrzuca takiego kodu. gdzieś tam jakieś pomieszanie typów, użycie po zwolnieniu, odczyt poza zakresem, może nawet eskalacja uprawnień. Jak najmniej widoczne, żeby przez sito przeszło i tylko pozwoliło po uruchomieniu przez użytkownika pobrać właściwy malware.

"Pamiętaj że bugi które wychodzą po latach często wymagają wiedzy absolutnie ultra-eksperckiej i ingerencji na poziomie hardware'owym. [...] "jak odlutuję tą nóżkę w kości RAM, wyłączę te 2 flagi w biosie, to kiedy wywołam tę RISCową instrukcję w dziwnej, określonej kolejności na tym rejestrze to zamiast wywalić error mogę zmieniać dane w innym rejestrze". "
No nie. większość wcale nie jest tak ezoteryczna, żeby działała tylko na rozstajnych drogach, przy pełni księżyca i w świetle gromnicy. :p Sporo z nich jest co najwyżej na średnim poziomie, a bywają i rzeczy trywialne.