>но, не хочу нести такие существенные риски

но разве вы не вольны использовать менее рискованный софт ? просто найдите то что вам по вкусу и пользуйтесь, а попытка загнать всех под одну гребёнку никогда ничем хорошим не заканчивалась.

>начинаю размышлять в сторону того, как ее можно решить. многие ведь вообще не знают о ее существовании, или просто не хотят думать о ней.

ну почему же, люди которые хоть немного связанные с IT довольно осознанно принимают риски и не строят из себя бабочек летящих на свет (ну или мух на г..но, каму как нравиться), а думать за блондинок то такое, дело неблагодарное.
что же до оповещений то и их хватает, взять тот же пресловутый АУР, там черным по белому написанно
на самом видном месте главной странницы да и еще выделенно жирным:
=== Отказ от ответственности: Пакеты в AUR содержат предоставленный пользователями контент. Любое использование предоставляемых файлов выполняйте на свой риск. ===
плюс еще в самом внизу каждой страницы дубль, если вдруг забыли
=== Пакеты в AUR содержат предоставленный пользователями контент. Любое использование предоставляемых файлов выполняйте на свой риск. ===
так что с информированием и осознанием проблем быть не должно

>... а еще чуть позже в сторону кода без паспорта даже смотреть никто не захочет, кроме единиц маргиналов.

то что вы предлагаете похоже на бесплатный фрилансинг да еще и при полной ответственности автора за любой косяк в его коде. Идея конечно замечательная, но вы так и не ответили на вопрос - "ты сам бы желал впрягаться в такие проекты ?", ведь от тех же ошибок никто не застрахован и кто знает что случится у многомиллионной компании из за сбоя по вине написанного тобой плагина, ты готов потом несколько лет в судах доказывать что не верблюд ? ага, потом заговорим о профсоюзах для свободных авторов которые бы защищали их интересы в судах и т.д. кроме как разбухание бюрократии и счастливых лиц адвокатских контор это мало чем сулит в будущем.
Если вы считаете что "код по паспорту" может стать популярным трендом то вперёд, организуйте стартап который приблизит это "светлое" будущее, было бы увлекательно посмотреть на заинтересованность разрабов двигаться в данном направлении.

как по мне то золотой серединой в данном вопросе является подпись пакета(пример для арча https://wiki.archlinux.org/title/Pacman/Package_signing) что позволяет верифицировать источник, но вот связывать подпись и реальное "лицо" это уже дело самого разработчика.