ну вы конечно сравнили "анонима мелких пакетов" и корпорации с их мегапроектами, как-то однобоко, ненаходите ? сравнивайте уж мелкие открытые пакеты с мелкими закрытыми программами, и вот беда, у мелких закрытых программ может быть такая же болезнь с анонимностью их создателя но в добавок еще у вас черный ящик вместо открытого кода. Что касается мегапроектов то срени основных разработчиков анонимов нету и репутацией будут дорожить намного больш, как раз в силу открытости кода + git как логирование того - кто, как и когда чего добавил. Для закрытых же проектов при любой непонятной ситуации будут скрывать проблему и заниматься отписками, а чтобы доказать свою правоту у вас банально не хватит ресурсов, а судится на основании догадок это дорогое удовольствие которое простым смертным не по карману, и в лучшем случае вам скажут скачать новую версию в которой уязвимость уже закрыли, но была она намеренной или нет вы никогда не узнаете.