Adam Williamson iz tvrtke Red Hat, koji vodi tim za kontrolu kvalitete u projektu Fedora, primijetio je sumnjivu aktivnost Nathana Giovanninija, koji se pridružio projektu Fedora 2016. godine i neko vrijeme sudjelovao u radu tima Fedora Infrastructure Team. Ne isključuje se mogućnost da je aktivnost koja se odvijala u posljednja dva mjeseca u ime Nathana bila usmjerena na stjecanje povjerenja kroz akumulaciju povijesti prihvaćenih promjena i sudjelovanje u ispravljanju grešaka, prije nego što su izvršene zlonamerne radnje, kao u incidentu s postavljanjem baga u paket xz.
Sumnja je izazvana činjenicom da je ranije slabo aktivni programer u svibnju počeo aktivno sudjelovati u raspravama o greškama i slati zakrpe, pri čemu su se u takvoj aktivnosti primijetili obrasci tipični za korištenje AI. Na primjer, u komentarima su se nalazila općenja stvorena putem AI, nakon čega su zamolili Nathana da ne zloupotrebljava kopiranje zaključaka od AI asistenta.
Osim toga, primijećeno je besmisleno preusmjeravanje na sebe izvještaja o problemima u podsustavima u kojima Nathan nije voditelj (1, 2, 3), promjene statusa ili prioriteta ispravljanja problema (1, 2), objavljivanje preporuka sastavljenih putem AI autorima poruka o greškama (1, 2, 3) i slanje zakrpa generiranih u AI. Obilazio je pravila projekta, Nathan je zatvarao izvještaje o greškama odmah nakon slanja AI zakrpa višim projektima, ne čekajući njihovo prihvaćanje, ili ih jednostavno zatvarao s oznakom „NOTABUG“ i preporukom da se ponovno provjeri pojava problema.
Adam Williamson je sugerirao da je Nathan koristio AI agenta za ispravak grešaka u Fedori i zamolio ga da prestane koristiti AI agenta u offline modu. Nathan je odgovorio da to nije njegov AI agent, da su njegovi računi kompromitirani i da netko drugi djeluje u njegovo ime. Nakon toga, Nathan je objavio poruku da je obnovio pristup svojim računima na Fedori i GitHubu, a također
napisao da je njegov službeni račun na GitHubu — „nathangiovannini99“.
Poruka je izazvala još više pitanja, budući da je označeni račun stvoren sat vremena prije objavljivanja pisma, a na GitHubu su se pojavila još najmanje dva računa povezana s Nathanom (leurus27-boop, nathan9513-aps). Nije se isključivalo da je zlonamjernik koji je imao pristup Nathanovom e-mailu nastavio komunicirati s programerima Fedore. Pristup Nathanovom računu na Bugzilli bio je blokiran i pokrenuta je provjera svih njegovih izmjena.
Otkriveno je da je sumnjiva aktivnost počela 7. aprila i neki od zakrpa koje je Nathan poslao samo su stvorili privid ispravke. U međuvremenu, takve su zakrpe prihvaćene u instalacijski program Anaconda i uključene u izdanje Anaconda 45.5. Prateći programer Anaconde obustavio je napravljene izmjene i objavio izdanje Anaconda 45.6 bez tih zakrpa.
Osim toga, ispravke poslane u Nathanovo ime prihvaćene su od strane programera alata osc (openSUSE Commander) s implementacijom sučelja naredbenog retka za sustav gradnje Open Build Service. Još jedna zakrpa je predana za uključivanje u paket lxqt-policykit vezano uz ispravak problema u Fedora, ali su programeri Fedore uspjeli obavijestiti pratitelja prije nego što je ona prihvaćena. Zakrpe nisu uključivale zlonamjerne aktivnosti, ali se pretpostavlja da su mogle biti priprema za implementaciju zlonamjernih izmjena u komponente sustava gradnje i servisa koji osigurava izvršavanje privilegiranih operacija. Ispravke koje je Nathan poslao također su zabilježene u projektima gwenview i easyeffects.
Izvor: opennet.ru
