페도라가 인공지능 에이전트를 이용해 의심스러운 변경 사항을 적용하는 것으로 밝혀졌습니다.

레드햇의 페도라 프로젝트 품질 보증팀을 이끄는 아담 윌리엄슨은 2016년 페도라 프로젝트에 합류해 잠시 페도라 인프라 팀에 참여했던 네이선 지오반니니의 활동이 의심스럽다고 지적했습니다. 지난 두 달 동안 네이선의 이름으로 이루어진 활동은 xz 백도어 사건처럼 악의적인 행위를 저지르기 전에 승인된 변경 사항 이력을 쌓고 버그 수정에 참여하여 신뢰를 얻으려는 의도였을 가능성이 있습니다.

이전에는 조용히 활동하던 개발자가 5월부터 버그 토론에 적극적으로 참여하고 패치를 제출하기 시작하면서 의혹이 제기되었습니다. 이러한 활동은 인공지능(AI) 사용과 일관된 패턴을 보였기 때문입니다. 예를 들어, 해당 개발자의 댓글에는 AI가 생성한 일반화된 내용이 포함되어 있었고, 이로 인해 네이선은 AI 비서의 결론을 과도하게 복사하지 말라는 경고를 받았습니다.

또한, 네이선이 유지보수 담당자가 아닌 하위 시스템에서 문제 보고서가 무의미하게 재할당되는 사례(1, 2, 3), 문제 수정의 상태 또는 우선순위 변경(1, 2), 버그 보고서 작성자에게 AI가 생성한 권장 사항 게시(1, 2, 3), AI가 생성한 패치 제출 등이 있었습니다. 네이선은 프로젝트 지침을 위반하여 AI 패치를 상위 프로젝트에 제출한 직후 승인을 기다리지 않고 버그 보고서를 즉시 닫거나, 단순히 "NOTABUG" 플래그를 표시하고 문제를 재검토하라는 권장 사항만 남기고 닫았습니다.

Adam Williamson은 Nathan이 Fedora의 버그를 수정하기 위해 AI 에이전트를 배포했다고 지적하며, 독립 실행형 모드에서 AI 에이전트 사용을 중단해달라고 요청했습니다. Nathan은 해당 AI 에이전트는 자신이 만든 것이 아니며, 자신의 계정 정보가 유출되어 다른 사람이 자신을 대신해 사용하고 있다고 답했습니다. 이후 Nathan은 Fedora 및 GitHub 계정에 대한 접근 권한을 복구했다는 메시지를 게시했습니다.
그는 자신의 공식 GitHub 계정이 "nathangiovannini99"라고 적었습니다.

해당 메시지는 더 많은 의문을 불러일으켰습니다. 문제의 계정이 이메일이 게시되기 한 시간 전에 생성되었고, 네이선과 관련된 다른 계정 두 개(leurus27-boop 및 nathan9513-aps)가 GitHub에서 발견되었기 때문입니다. 네이선의 이메일에 접근한 공격자가 여전히 페도라 개발자들과 연락하고 있을 가능성이 제기되었습니다. 네이선의 계정은 Bugzilla 접근이 차단되었고, 그의 모든 변경 사항에 대한 검토가 시작되었습니다.

조사 결과, 의심스러운 활동은 4월 7일에 시작되었으며, 네이선이 제출한 패치 중 일부는 단순히 버그 수정인 것처럼 위장한 것이었습니다. 그러나 이러한 패치들이 아나콘다 설치 프로그램에 포함되어 아나콘다 45.5 릴리스에 배포되었습니다. 아나콘다 관리자는 해당 변경 사항을 되돌리고 패치가 제외된 아나콘다 45.6을 출시했습니다.

또한, 네이선이 제출한 패치는 Open Build Service의 명령줄 인터페이스를 구현하는 osc(openSUSE Commander) 유틸리티 개발자들이 승인했습니다. 또 다른 패치는 Fedora의 문제를 해결하는 lxqt-policykit 패키지에 포함시키기 위해 제출되었지만, Fedora 개발자들이 승인 전에 관리자에게 알렸습니다. 이 패치들에는 악의적인 행위는 포함되지 않았지만, 빌드 시스템 및 권한 있는 작업을 가능하게 하는 서비스의 구성 요소에 악의적인 변경을 도입하기 위한 사전 작업이었을 가능성이 의심됩니다. 네이선이 제출한 패치는 gwenview 및 easyeffects 프로젝트에서도 발견되었습니다.

출처 : opennet.ru