В случае когда команда под контролем - да. В случае дистров линукса это не так - найдут с точностью до строчки и минуты что это сделал John Smith <j.smith@hotmail.com> - и это лучшее что они смогут, потому что там тысячи контрибуторов, и их личность никто не проверяет.
Причем, правильный Джон будет честно несколько лет зарабатывать репутацию, делать полезные и очень нужные правки, будет уважаемым контрибутором, но вот в час X возьмет и отправит "невинную" правку и уйдёт в отпуск - навсегда. Когда же обновления пройдут по всей установочной базе - всё будет под контролем, и заметят это, скорее всего, только через несколько лет (как было с OpenSSL).
Можно и более прозаично, минуя VCS - как пытались сделать с ядром в 2003 (так и не выяснили кто это был). Были также случаи компрометирования серверов с которых раздавались обновления, причем как по дистрам так и по отдельным приложениям или библиотекам (RedHat/Fedora в 2008 году).
В общем, не всё так радужно как может показаться.