Bom, aí você sempre depende de quem faz a manutenção do repositório para agir de boa fé, também. Não que isso já me tenha sido um problema, mas a questão de confiança é simplesmente passada pra outra pessoa. O único jeito de não sofrer isso é rever você mesmo o código fonte e se responsabilizar pela compilação.

Não sou uma pessoa da ciência da computação, mas essa é uma discussão que já tive e sempre acho complicado olhar para quem mantém repositórios como bastiões da moralidade. De novo, nunca tive uma experiência ruim, mas ainda são pessoas, de todo modo.

Quanto à containerização, boto fé. Não conheço muito as tecnologias envolvidas, mas sempre vi elogios aos flatpaks e snaps da vida, apesar de ter visto também muitas críticas, especialmente ao snap. Você sabe algo a esse respeito? De todo modo, obrigado pela resposta.