Protestware: как идейные злоумышленники атакуют ваш код — и как этого избежать

Вычислить, кто внёс уязвимость, по сути можно всегда. Анонимные коммиты в прод не попадут.
Все пользователи в системах контроля версий и совместной работы с кодом (например, GitLab) подразумевают, что вход осуществляется пользователем, у которого есть идентификационные данные (логин, пароль). Даже создаваемые для автоматизации боты их имеют.
Также добавлю, что любое внесение изменений должно проходить через ревью кода. На этом шаге тоже не получится быть анонимом.