Adam Williamson van Red Hat, die het kwaliteitscontroleteam van het Fedora-project leidt, heeft opmerkzame activiteiten opgemerkt van Nathan Giovannini, die zich in 2016 bij het Fedora-project voegde en enige tijd betrokken was bij het Fedora Infrastructure Team. Het is mogelijk dat de activiteiten die in de afgelopen twee maanden onder de naam van Nathan zijn uitgevoerd, gericht waren op het winnen van vertrouwen door het opbouwen van een geschiedenis van goedgekeurde wijzigingen en deelname aan bugfixes, voordat er kwaadaardige acties werden ondernomen, zoals het incident met de backdoor-injectie in het xz-pakket.
De verdenking ontstond doordat een ontwikkelaar die eerder niet veel opviel, in mei actief begon deel te nemen aan het bespreken van fouten en het indienen van patches, waarbij in deze activiteit patronen te zien waren die typisch zijn voor het gebruik van AI. Bijvoorbeeld, in de opmerkingen waren er AI-gegenereerde samenvattingen, waarna Nathan werd verzocht om geen misbruik te maken van het kopiƫren van AI-assistentoutput.
Daarnaast waren er zinloze herbenoemingen van probleemrapporten in subsysteem die Nathan niet ondersteunt (1, 2, 3), wijzigingen in de status of prioriteit van probleemoplossingen (1, 2), publicaties van AI-gegenereerde aanbevelingen aan de auteurs van foutmeldingen (1, 2, 3), en het indienen van AI-gegenereerde patches. In strijd met de projectregels sloot Nathan bugrapporten onmiddellijk af na het indienen van AI-patches aan hogere projecten, zonder op acceptatie te wachten, of sloot ze simpelweg af met de vlag "NOTABUG" en de aanbeveling om het probleem opnieuw te controleren.
Adam Williamson suggereerde dat Nathan een AI-agent had gebruikt om bugs in Fedora op te lossen en vroeg hem het gebruik van de AI-agent in offline modus te stoppen. Nathan antwoordde dat het niet zijn AI-agent was, dat zijn inloggegevens waren gecompromitteerd en dat iemand anders namens hem handelde. Vervolgens plaatste Nathan een bericht dat hij weer toegang had tot zijn Fedora- en GitHub-accounts, evenals
schreef dat zijn officiƫle GitHub-account "nathangiovannini99" is.
Het bericht riep nog meer vragen op, aangezien het gemarkeerde account een uur voor de publicatie van de brief was aangemaakt en er op GitHub nog minstens twee accounts waren opgedoken die aan Nathan (leurus27-boop, nathan9513-aps) waren gekoppeld. Het was niet uitgesloten dat een kwaadwillende die toegang had gekregen tot Nathans e-mail, nog steeds communiceerde met de ontwikkelaars van Fedora. Toegang tot Nathans account op Bugzilla werd geblokkeerd en er werd een controle gestart op alle door hem aangebrachte wijzigingen.
Het bleek dat de verdachte activiteit op 7 april begon en dat sommige patches die Nathan had verzonden slechts de schijn van een oplossing wekten. Deze patches werden geĆÆntegreerd in de Anaconda-installer en opgenomen in de Anaconda 45.5-release. De begeleider van Anaconda verwierp de aangebrachte wijzigingen en publiceerde de Anaconda 45.6-release zonder deze patches.
Bovendien werden de correcties die namens Nathan waren verzonden, geaccepteerd door de ontwikkelaars van de osc-tool (openSUSE Commander), die de commandoregelinterface voor het Open Build Service-bouwwysteem implementeert. Een andere patch was ingediend voor opname in het lxqt-policykit-pakket, gekoppeld aan de oplossing van een probleem in Fedora, maar de ontwikkelaars van Fedora waren in staat om de begeleider te waarschuwen voordat deze werd geaccepteerd. De patches bevatten geen kwaadaardige activiteiten, maar het wordt vermoed dat ze een voorbereiding konden zijn op het aanbrengen van schadelijke wijzigingen in de componenten van het bouwwysteem en de service die het uitvoeren van geprivilegieerde operaties mogelijk maakt. De door Nathan verzonden correcties werden ook opgemerkt in de projecten gwenview en easyeffects.
Bron: opennet.ru
