Adam Williamson di Red Hat, che guida il team di controllo qualità del progetto Fedora, ha notato un'attività sospetta da parte di Nathan Giovannini, che si è unito al progetto Fedora nel 2016 e ha partecipato per un certo tempo al lavoro del team Fedora Infrastructure Team. Non si esclude che l'attività svolta negli ultimi due mesi a nome di Nathan sia stata mirata a guadagnare fiducia accumulando una storia di modifiche accettate e partecipando alla risoluzione di errori prima di compiere azioni dannose, come nell'incidente di inserimento di un backdoor nel pacchetto xz.
Il sospetto è stato suscitato dal fatto che un sviluppatore che in precedenza non si era particolarmente distinto ha iniziato, a maggio, a partecipare attivamente alle discussioni sugli errori e a inviare patch, presentando schemi di attività caratteristici dell'uso dell'AI. Ad esempio, nei commenti sono state trovate sintesi create tramite AI, dopo le quali è stato chiesto a Nathan di non abusare della copia dei risultati dall'assistente AI.
Inoltre, sono state segnalate assegnazioni senza significato di rapporti di problemi a se stesso in sottosistemi in cui Nathan non è un manutentore (1, 2, 3), modifiche allo stato o priorità della risoluzione di problemi (1, 2), pubblicazione di raccomandazioni create tramite AI agli autori dei rapporti sugli errori (1, 2, 3) e invio di patch generate in AI. In violazione delle regole del progetto, Nathan ha chiuso i rapporti sugli errori subito dopo aver trasmesso le patch AI ai progetti superiori, senza attendere la loro accettazione, oppure ha semplicemente chiuso con il flag "NOTABUG" e una raccomandazione di verificare nuovamente la manifestazione del problema.
Adam Williamson ha ipotizzato che Nathan avesse utilizzato un agente AI per la risoluzione di errori in Fedora e ha chiesto di fermare l'uso dell'agente AI in modalità autonoma. Nathan ha risposto che non era il suo agente AI, le sue credenziali erano state compromesse e qualcuno sconosciuto stava agendo a suo nome. Successivamente, Nathan ha pubblicato un messaggio dicendo di aver ripristinato l'accesso ai suoi account in Fedora e GitHub, e ha anche
scritto che il suo account ufficiale su GitHub è "nathangiovannini99".
Il messaggio ha sollevato ulteriori interrogativi, poiché l'account contrassegnato è stato creato un'ora prima della pubblicazione della lettera e su GitHub sono emersi almeno altri due account associati a Nathan (leurus27-boop, nathan9513-aps). Non si escludeva che un attaccante, che aveva ottenuto accesso all'email di Nathan, continuasse a comunicare con gli sviluppatori di Fedora. L'accesso all'account di Nathan su Bugzilla è stato bloccato e è stata avviata una verifica di tutte le modifiche da lui effettuate.
Si è scoperto che l'attività sospetta era iniziata il 7 aprile e alcuni dei patch inviati da Nathan creavano solo l'illusione di una correzione. Tali patch sono state approvate nel pacchetto dell'installer Anaconda e sono state incluse nella versione Anaconda 45.5. Il mantenitore dell'Anaconda ha annullato le modifiche apportate e ha pubblicato la versione Anaconda 45.6 senza questi patch.
Inoltre, le correzioni inviate a nome di Nathan sono state accettate dagli sviluppatori dell'utility osc (openSUSE Commander), che implementa un'interfaccia a riga di comando per il sistema di build Open Build Service. Un'altra patch è stata inviata per essere inclusa nel pacchetto lxqt-policykit, legata alla risoluzione di un problema in Fedora, ma gli sviluppatori di Fedora sono riusciti a avvisare il mantenitore prima della sua approvazione. I patch non includevano azioni malevole, ma si ritiene che potessero essere una preparazione per apportare modifiche dannose ai componenti del sistema di build e al servizio che gestisce le operazioni privilegiate. Le correzioni inviate da Nathan sono state notate anche nei progetti gwenview ed easyeffects.
Fonte: opennet.ru
