Adam Williamson di Red Hat, responsabile del team di controllo qualità del progetto Fedora, ha notato un'attività sospetta di Nathan Giovannini, che si è unito al progetto Fedora nel 2016 e ha partecipato per un certo periodo al lavoro del Fedora Infrastructure Team. Non si esclude che le attività condotte negli ultimi due mesi a nome di Nathan siano state finalizzate a guadagnare fiducia attraverso l'accumulo di una storia di cambiamenti approvati e la partecipazione nella correzione di bug, prima di compiere azioni dannose, come nel caso dell'incidente relativo all'inserimento di un backdoor nel pacchetto xz.
La sospetto è sorto dal fatto che uno sviluppatore che in precedenza non si era particolarmente distinto ha iniziato a partecipare attivamente alle discussioni sui bug e a inviare patch a maggio, nonostante in tale attività fossero presenti schemi caratteristici dell'utilizzo di AI. Ad esempio, nei commenti predominavano riassunti generati tramite AI, dopo i quali si chiedeva a Nathan di non abusare della copia delle risposte fornite dall'assistente AI.
Inoltre, sono stati segnalati rinvii di relazioni sui problemi nelle sottosistemi in cui Nathan non è il manutentore (1, 2, 3), cambiamenti di stato o priorità nella risoluzione dei problemi (1, 2), pubblicazione di raccomandazioni create tramite AI agli autori dei rapporti sui bug (1, 2, 3) e invio di patch generate tramite AI. In violazione delle regole del progetto, Nathan chiudeva i rapporti sui bug subito dopo aver inviato le patch AI ai progetti superiori, senza aspettare la loro accettazione, oppure li chiudeva semplicemente con il flag "NOTABUG" e la raccomandazione di ricontrollare la presenza del problema.
Adam Williamson ha suggerito che Nathan avesse utilizzato un agente AI per correggere i bug in Fedora e ha chiesto di interrompere l'uso dell'agente AI in modalità autonoma. Nathan ha risposto che non era il suo agente AI, le sue credenziali erano state compromesse e qualcuno stava agendo a suo nome. Dopo, Nathan ha pubblicato un messaggio dicendo che aveva ripristinato l'accesso ai suoi account su Fedora e GitHub, oltre a
scrivere che il suo account ufficiale su GitHub è "nathangiovannini99".
Il messaggio ha sollevato ancora più domande, poiché l'account contrassegnato era stato creato un'ora prima della pubblicazione della lettera e su GitHub sono emersi almeno altri due account associati a Nathan (leurus27-boop, nathan9513-aps). Non si escludeva che un malintenzionato avesse continuato a comunicare con gli sviluppatori di Fedora dopo aver avuto accesso all'email di Nathan. L'accesso all'account di Nathan su Bugzilla è stato bloccato e è stata avviata una verifica di tutte le modifiche effettuate da lui.
Si è scoperto che l'attività sospetta era iniziata il 7 aprile e alcuni dei patch inviati da Nathan creavano solo l'apparenza di una correzione. Tuttavia, patch simili sono state incorporate nell'installer Anaconda e sono entrate a far parte del rilascio di Anaconda 45.5. Il maintainer di Anaconda ha annullato le modifiche effettuate e ha pubblicato il rilascio di Anaconda 45.6 senza questi patch.
Inoltre, le modifiche inviate a nome di Nathan sono state accolte dagli sviluppatori della utility osc (openSUSE Commander) con l'implementazione dell'interfaccia a riga di comando per il sistema di assemblaggio Open Build Service. Un'altra patch è stata inviata per essere inclusa nel pacchetto lxqt-policykit, collegata alla risoluzione di un problema in Fedora, ma gli sviluppatori di Fedora hanno avvertito il curatore prima della sua accettazione. Le patch non contenevano azioni dannose, ma si suppone che potessero essere un preparativo per l'introduzione di modifiche dannose nei componenti del sistema di assemblaggio e del servizio che consente l'esecuzione di operazioni privilegiate. Le correzioni inviate da Nathan sono state notate anche nei progetti gwenview ed easyeffects.
Fonte: opennet.ru
