Red Hats Adam Williamson, der leder Fedora-projektets kvalitetssikringsteam, har bemærket mistænkelig aktivitet fra Nathan Giovannini, der sluttede sig til Fedora-projektet i 2016 og kortvarigt deltog i Fedora Infrastructure Team. Det er muligt, at aktiviteten udført i løbet af de sidste to måneder under Nathans navn havde til formål at vinde tillid ved at akkumulere en historik over accepterede ændringer og deltage i fejlrettelser, før der blev udført ondsindede handlinger, som i xz-bagdørshændelsen.
Mistanken opstod, da en tidligere stille udvikler i maj begyndte aktivt at deltage i fejldiskussioner og indsende programrettelser, på trods af at sådan aktivitet udviste mønstre, der stemmer overens med brugen af AI. For eksempel omfattede kommentarerne AI-genererede generaliseringer, hvilket fik Nathan til at blive advaret mod overdreven kopiering af AI-assistentens konklusioner.
Derudover var der tilfælde af meningsløse omfordelinger af problemrapporter i undersystemer, som Nathan ikke er vedligeholder for (1, 2, 3), ændringer i status eller prioritet for problemrettelser (1, 2), offentliggørelse af AI-genererede anbefalinger til forfatterne af fejlrapporter (1, 2, 3) og indsendelse af AI-genererede programrettelser. I strid med projektets retningslinjer lukkede Nathan fejlrapporter umiddelbart efter at have indsendt AI-programrettelser til upstream-projekter, uden at vente på, at de blev accepteret, eller lukkede dem blot med "NOTABUG"-flaget og en anbefaling om at genoverveje problemet.
Adam Williamson foreslog, at Nathan havde indsat en AI-agent til at rette fejl i Fedora og bad ham om at stoppe med at bruge AI-agenten i standalone-tilstand. Nathan svarede, at det ikke var hans AI-agent, at hans legitimationsoplysninger var blevet kompromitteret, og at en anden handlede på hans vegne. Nathan postede derefter en besked om, at han havde gendannet adgangen til sine Fedora- og GitHub-konti, samt
skrev, at hans officielle GitHub-konto er "nathangiovannini99".
Beskeden rejste endnu flere spørgsmål, da den pågældende konto var blevet oprettet en time før e-mailen blev offentliggjort, og mindst to andre konti tilknyttet Nathan (leurus27-boop og nathan9513-aps) var dukket op på GitHub. Det var muligt, at angriberen, der havde fået adgang til Nathans e-mail, stadig kommunikerede med Fedora-udviklere. Nathans konto blev blokeret fra at få adgang til Bugzilla, og en gennemgang af alle hans ændringer blev iværksat.
Det viste sig, at den mistænkelige aktivitet begyndte den 7. april, og nogle af de programrettelser, Nathan indsendte, foregik blot at være rettelser. Disse programrettelser blev dog accepteret i Anaconda-installationsprogrammet og inkluderet i Anaconda 45.5-udgivelsen. Anaconda-vedligeholderen fortrød ændringerne og udgav Anaconda 45.6 uden disse programrettelser.
Derudover blev programrettelser indsendt på vegne af Nathan accepteret af udviklerne af osc (openSUSE Commander) værktøjet, som implementerer en kommandolinjegrænseflade til Open Build Service. En anden programrettelse blev indsendt til inkludering i lxqt-policykit-pakken med en rettelse til et problem i Fedora, men Fedora-udviklerne advarede vedligeholderen, før den blev accepteret. Programrettelserne indeholdt ikke ondsindede handlinger, men det er mistanke om, at de kunne have været forberedelser til at introducere ondsindede ændringer til komponenter i byggesystemet og den tjeneste, der muliggør privilegerede operationer. Programrettelser indsendt af Nathan blev også set i gwenview- og easyeffects-projekterne.
Kilde: opennet.ru
