Adam Williamson fra Red Hat, leder af kvalitetssikringsteamet for Fedora-projektet, lagde mærke til mistænkelig aktivitet fra Nathan Giovannini, der sluttede sig til Fedora-projektet i 2016 og i nogen tid har været en del af Fedora Infrastructure Team. Det kan ikke udelukkes, at den aktivitet, der er udført i de sidste to måneder i Nathans navn, har været rettet mod at opnå tillid gennem opbygning af en historik med accepterede ændringer og deltagelse i fejlrettelser, inden han udførte skadelige handlinger, som i hændelsen med bagdør-injektion i xz-pakken.
Mistanken opstod, fordi en udvikler, der tidligere ikke havde gjort sig bemærket, begyndte aktivt at deltage i diskussionerne om fejl og sende patches i maj, samtidig med at der kunne ses mønstre i denne aktivitet, der var karakteristiske for brugen af AI. For eksempel blev der i kommentarerne bemærket AI-genererede generaliseringer, efter hvilke Nathan blev bedt om ikke at misbruge kopiering af output fra AI-assistenten.
Desuden blev der noteret meningsløse genstillinger af problemer i subsystemer, hvor Nathan ikke var vedligeholder (1, 2, 3), ændringer i status eller prioritet for fejlrettelse (1, 2), offentliggørelse af AI-genererede anbefalinger til forfattere af fejlrapporter (1, 2, 3) og sending af AI-genererede patches. I strid med projektreglerne lukkede Nathan fejlrapporter straks efter at have sendt AI-patches til de højere projekter, uden at vente på deres accept, eller lukkede dem simpelt med flaget "NOTABUG" og anbefalingen om at genoprette problemet.
Adam Williamson antydede, at Nathan havde brugt en AI-agent til at rette fejl i Fedora og bad om at stoppe brugen af AI-agenten i offline-tilstand. Nathan svarede, at det ikke var hans AI-agent, hans legitimationsoplysninger var blevet kompromitteret, og at en udenforstående handlede i hans navn. Derefter offentliggjorde Nathan en meddelelse om, at han havde genoprettet adgangen til sine konti i Fedora og GitHub, samt
han skrev, at hans officielle konto på GitHub er "nathangiovannini99".
Beskeden har affødt endnu flere spørgsmål, da den markerede konto blev oprettet en time før offentliggørelsen af brevet, og der er dukket op mindst to andre konti på GitHub, der er knyttet til Nathan (leurus27-boop, nathan9513-aps). Det kunne ikke udelukkes, at en angriber, der havde fået adgang til Nathans email, stadig kommunikerede med Fedora-udviklerne. Nathans adgang til Bugzilla blev blokeret, og der blev iværksat en gennemgang af alle hans ændringer.
Det blev opklaret, at den mistænkelige aktivitet begyndte den 7. april, og nogle af de patches, som Nathan sendte, skabte blot en illusion af at rette fejl. Disse patches blev dog accepteret i installeringsprogrammet Anaconda og blev en del af Anaconda 45.5-udgivelsen. Anaconda-maintaineren annullerede de foretagne ændringer og offentliggjorde Anaconda 45.6-udgivelsen uden disse patches.
Derudover blev de rettelser sendt på vegne af Nathan accepteret af udviklerne af værktøjet osc (openSUSE Commander), som implementerer et kommandolinjeinterface til build-systemet Open Build Service. Endnu en patch blev sendt til inklusion i pakken lxqt-policykit med tilknytning til en løsning af et problem i Fedora, men Fedora-udviklerne nåede at advarer maintaineren før dens godkendelse. Patches indeholdt ikke skadelige handlinger, men man mener, at de kunne have været en forberedelse til at indføre ondsindede ændringer i componenterne af build-systemet og servicen, der muliggør udførelse af privilegerede operationer. Rettelser sendt af Nathan blev også bemærket i projekterne gwenview og easyeffects.
Kilde: opennet.ru
