Errado.
opensource não garante que ele não tem malware, trojan, etc.
Te refrescando a memória para os diversos casos com pacotes hackeados do NPM, dentre outros.

Achar que um binário em um repósitorio é algo confiável, é de uma inocência sem tamanho.