Fedoras tuvastati kompromiteeritud osaleja asendamine AI-agendi poolt, et edendada kahtlaseid muudatusi

Adam Williamson Red Hatist, kes juhib kvaliteedikontrolli meeskonda projektis Fedora, märkis kahtlase tegevuse üle Nathan Giovannini, kes liitus Fedora projektiga 2016. aastal ja töötas mõnda aega Fedora Infrastructure Teamis. On võimalik, et Nathan on viimase kahe kuu jooksul tegutsenud selle eesmärgiga, et genereerida usaldusväärsust, kogudes muudatushistorit ja osaledes vigade parandamises, enne pahatahtlike tegevuste sooritamist, nagu juhtum xz paketi tagavaras.

Kahtlust äratas asjaolu, et varem mitte väga aktiivne arendaja hakkas mais aktiivselt osalema vigade aruteludes ja saatma patše, samas kui sellise tegevuse juures oli märgata mustreid, mis viitasid AI kasutamisele. Näiteks kommentaarides olid AI abil loodud üldistused, mille järel paluti Nathanil mitte kuritarvitada AI-assistendi väljundeid.

Lisaks tõstatusid arusaamatud ümbernimetamised probleemide aruannetest, mille suhtes Nathan ei ole hooldaja (1, 2, 3), muudatused vigade parandamise staatustes või prioriteetides (1, 2), AI kaudu loodud soovituste avaldamine vigade aruande autoritele (1, 2, 3) ja AI-s genereeritud patšide saatmine. Projektireegleid eirates sulges Nathan vigade aruandeid kohe pärast AI-patchide edastamist ülemistele projektidele, ootamata nende vastuvõtmist, või lihtsalt sulges need „NOTABUG“ sildi ja soovitusega probleem uuesti kontrollida.

Adam Williamson tegi oletusi, et Nathan kasutas AI-agenti vigade parandamiseks Fedoras ning palus lõpetada AI-agendi kasutamine iseseisvas režiimis. Nathan vastas, et see ei ole tema AI-agent, tema akrediteeringud on olnud kompromiteeritud ja keegi teine tegutseb tema nimel. Peale selle postitas Nathan sõnumi, et ta on taastanud juurdepääsu oma kontodele Fedoras ja GitHubis, samuti
kirjutas, et tema ametlik konto GitHubis on "nathangiovannini99."

Sõnum tekitas veelgi rohkem küsimusi, kuna märgitud konto loodi tund enne kirja avaldamist ja GitHubis ilmus veel vähemalt kaks kontot, mis olid seotud Nathaniga (leurus27-boop, nathan9513-aps). Ei välistatud, et Fedora arendajatega suhtleb veel kurjategija, kes sai Nathanile kuuluvale e-posti aadressile ligipääsu. Nathani konto juurdepääs Bugzilale oli blokeeritud ja tema tehtud muudatuste kontrollimine käidi lahti.

Selgus, et kahtlane tegevus algas 7. aprillil ja mõned Nathanilt saadetud patšid lihtsalt tekitavad mulje, et vigu on parandatud. Samas võeti sellised patšid vastu Anaconda installatsiooni osana ja need jõudsid Anaconda 45.5 versiooni. Anaconda hooldaja tühistas tehtud muudatused ja avaldas Anaconda 45.6 versiooni ilma nende patšideta.

Lisaks võeti Nathani nime alt saadetud parandused vastu osc (openSUSE Commander) arendajatelt, mis on Open Build Service'i ehitussüsteemi käsurealiidese rakendamine. Veel üks patš edastati lxqt-policykit paketti lisamiseks, mis seondus Fedora probleemi parandamisega, kuid Fedora arendajad suutsid juhendajat enne selle vastuvõtmist hoiatada. Patšides ei toimunud kurjategija tegevust, kuid eeldatakse, et need võisid olla ettevalmistused kahjulike muudatuste tegemiseks ehitussüsteemi komponentides ja teenuses, mis toetab privileege tegevusi. Nathani saadetud parandusi märgati ka projektides gwenview ja easyeffects.

Allikas: opennet.ru