Adam Williamson da Red Hat, que lidera a equipe de controle de qualidade do projeto Fedora, chamou a atenção para a atividade suspeita de Nathan Giovannini, que se juntou ao projeto Fedora em 2016 e participou por algum tempo da equipe de Infraestrutura do Fedora. Não se descarta que a atividade realizada nos últimos dois meses em nome de Nathan tenha como objetivo conquistar confiança por meio da acumulação de histórico de mudanças aceitas e participação na correção de erros, antes de realizar ações maliciosas, como no incidente de inserção de um backdoor no pacote xz.
A suspeita surgiu porque, antes pouco ativo, o desenvolvedor começou a participar ativamente na discussão de erros e a enviar patches em maio, com padrões de atividade que lembravam o uso de IA. Por exemplo, os comentários continham generalizações geradas por IA, após as quais pediram a Nathan que não abusasse da cópia das conclusões do assistente de IA.
Além disso, foram observadas remissões sem sentido de relatórios de problemas em subsistemas nos quais Nathan não é responsável (1, 2, 3), mudanças no status ou prioridade de correções de problemas (1, 2), publicação de recomendações criadas por IA para autores de relatórios de erros (1, 2, 3) e envio de patches gerados por IA. Em violação às regras do projeto, Nathan fechou relatórios de erros logo após enviar patches de IA para projetos superiores, sem esperar pela aceitação, ou simplesmente fechou com a bandeira 'NOTABUG' e a recomendação de verificar novamente a manifestação do problema.
Adam Williamson sugeriu que Nathan empregou um agente de IA para corrigir erros no Fedora e pediu para cessar o uso do agente de IA em modo autônomo. Nathan respondeu que não era seu agente de IA, que suas credenciais foram comprometidas e que alguém externo estava agindo em seu nome. Em seguida, Nathan publicou uma mensagem dizendo que havia recuperado o acesso a suas contas no Fedora e no GitHub, além de
ter escrito que sua conta oficial no GitHub é 'nathangiovannini99'.
A mensagem gerou ainda mais perguntas, uma vez que a conta marcada foi criada uma hora antes da publicação do e-mail e surgiram pelo menos outras duas contas associadas a Nathan (leurus27-boop, nathan9513-aps) no GitHub. Não se podia descartar a possibilidade de que um invasor que obteve acesso ao e-mail de Nathan ainda estivesse se comunicando com os desenvolvedores do Fedora. O acesso da conta de Nathan ao Bugzilla foi bloqueado, e uma verificação de todas as alterações feitas por ele foi iniciada.
Foi descoberto que a atividade suspeita começou em 7 de abril e alguns patches enviados por Nathan apenas criavam a aparência de correções. Esses patches foram aceitos na instalação do Anaconda e estavam incluídos na versão 45.5 do Anaconda. O mantenedor do Anaconda reverteu as alterações feitas e publicou a versão 45.6 do Anaconda sem esses patches.
Além disso, as correções enviadas em nome de Nathan foram aceitas pelos desenvolvedores da ferramenta osc (openSUSE Commander), que implementa uma interface de linha de comando para o sistema de construção Open Build Service. Outro patch foi enviado para inclusão no pacote lxqt-policykit, referente à correção de um problema no Fedora, mas os desenvolvedores do Fedora conseguiram avisar o mantenedor antes de sua aceitação. Os patches não incluíam ações maliciosas, mas suspeita-se que poderiam ser uma preparação para a introdução de alterações nocivas nos componentes do sistema de construção e no serviço que realiza operações privilegiadas. As correções enviadas por Nathan também foram notadas em projetos como gwenview e easyeffects.
Fonte: opennet.ru
