Adam Williamson von Red Hat, der das Qualitätssicherungsteam des Fedora-Projekts leitet, wies auf verdächtige Aktivitäten von Nathan Giovannini hin, der 2016 zum Fedora-Projekt stieß und eine Zeit lang im Fedora Infrastructure Team tätig war. Es besteht die Möglichkeit, dass die Aktivitäten, die Nathan in den letzten zwei Monaten unternahm, darauf abzielten, Vertrauen zu gewinnen, indem er eine Historie akzeptierter Änderungen aufbaute und an der Behebung von Fehlern teilnahm, bevor er schädliche Handlungen unternahm, wie im Fall des Backdoor-Einfügens in das Paket xz.
Verdacht erregte, dass ein zuvor nicht besonders aktiver Entwickler im Mai aktiv an der Fehlersuche teilnahm und Patches einreichte, wobei Muster zu beobachten waren, die typisch für die Verwendung von AI sind. Zum Beispiel gab es in den Kommentaren AI-generierte Zusammenfassungen, nach denen Nathan gebeten wurde, die Nutzung von AI-Assistenz nicht zu überstrapazieren.
Darüber hinaus wurden bedeutungslose Umbenennungen von Problemmeldungen in Subsysteme festgestellt, in denen Nathan nicht der verantwortliche Betreuer ist (1, 2, 3), Status- oder Prioritätsänderungen von Fehlerbehebungen (1, 2), die Veröffentlichung von AI-generierten Empfehlungen an die Autoren von Fehlermeldungen (1, 2, 3) sowie das Einreichen von AI-generierten Patches. Nathan schloss gegen die Projektregeln Berichte über Fehler sofort nach der Übermittlung der AI-Patches an übergeordnete Projekte, ohne auf deren Annahme zu warten, oder schloss sie einfach mit dem Hinweis „NOTABUG“ und dem Rat, das Auftreten des Problems erneut zu überprüfen.
Adam Williamson vermutete, dass Nathan einen AI-Agenten zur Fehlerbehebung in Fedora eingesetzt hatte und forderte ihn auf, die Nutzung des AI-Agenten im Offline-Modus einzustellen. Nathan antwortete, dass dies nicht sein AI-Agent sei, sondern seine Zugangsdaten kompromittiert worden seien und jemand Unbekanntes in seinem Namen handle. Danach veröffentlichte Nathan eine Mitteilung, dass er den Zugang zu seinen Konten in Fedora und GitHub wiederhergestellt habe, sowie
er erwähnte, dass sein offizieller GitHub-Account „nathangiovannini99“ sei.
Die Nachricht rief noch mehr Fragen hervor, da das gekennzeichnete Konto eine Stunde vor der Veröffentlichung des Schreibens erstellt wurde und auf GitHub mindestens zwei weitere Konten aufgetaucht sind, die mit Nathan assoziiert sind (leurus27-boop, nathan9513-aps). Es war nicht ausgeschlossen, dass ein Angreifer, der Zugriff auf Nathans E-Mail hatte, weiterhin mit den Entwicklern von Fedora kommunizierte. Der Zugriff auf Nathans Konto bei Bugzilla wurde gesperrt und es wurde eine Überprüfung aller von ihm vorgenommenen Änderungen eingeleitet.
Es stellte sich heraus, dass die verdächtigen Aktivitäten am 7. April begonnen hatten und einige von Nathan gesendete Patches lediglich den Anschein einer Korrektur erweckten. Diese Patches wurden in den Anaconda-Installer aufgenommen und fanden sich in der Version Anaconda 45.5. Der Betreuer von Anaconda widerrief die vorgenommenen Änderungen und veröffentlichte die Version Anaconda 45.6 ohne diese Patches.
Darüber hinaus wurden die im Namen von Nathan gesendeten Korrekturen von den Entwicklern des Tools osc (openSUSE Commander) mit der Implementierung einer Befehlszeilenschnittstelle für das Open Build Service akzeptiert. Ein weiterer Patch wurde zur Einbindung in das Paket lxqt-policykit übergeben, der mit der Behebung eines Problems in Fedora verbunden war, aber die Fedora-Entwickler konnten den Betreuer rechtzeitig vor seiner Annahme warnen. Die Patches enthielten keine böswilligen Aktionen, es wird jedoch angenommen, dass sie eine Vorbereitung für schädliche Änderungen an Komponenten des Build-Systems und des Dienstes waren, der privilegierte Operationen ermöglicht. Die von Nathan gesendeten Korrekturen wurden ebenfalls in den Projekten gwenview und easyeffects festgestellt.
Quelle: opennet.ru
