Adam Williamson de la compania Red Hat, care conduce echipa de control al calității în proiectul Fedora, a observat o activitate suspectă a lui Nathan Giovannini, care s-a alăturat proiectului Fedora în 2016 și a participat o vreme la activitatea echipei Fedora Infrastructure Team. Nu este exclus ca activitatea desfășurată în ultimele două luni în numele lui Nathan să fi fost destinată câștigării încrederii prin acumularea unei istorii de modificări acceptate și participarea la corectarea erorilor, înainte de a comite acțiuni malițioase, așa cum s-a întâmplat în incidentul cu introducerea unui backdoor în pachetul xz.
Suspiciunea a fost generată de faptul că un dezvoltator care nu s-a evidențiat anterior a început să participe activ la discuțiile despre erori și să trimită patch-uri în luna mai, deși în această activitate se observau modele caracteristice utilizării AI. De exemplu, în comentarii apăreau generalizări create cu ajutorul AI, după care lui Nathan i s-a cerut să nu abuzeze de copierea concluziilor de la asistentul AI.
În plus, s-au observat redirecționări de rapoarte de probleme către el, fără a avea legătură, în subsistemele în care Nathan nu este responsabil (1, 2, 3), modificări ale stării sau priorității corectării problemelor (1, 2), publicarea de recomandări create cu ajutorul AI pentru autorii rapoartelor de erori (1, 2, 3) și trimiterea de patch-uri generate de AI. Împotriva regulilor proiectului, Nathan închidea rapoartele de erori imediat după trimiterea patch-urilor AI către proiectele superioare, fără a aștepta aprobarea acestora, sau pur și simplu închidea cu eticheta „NOTABUG” și o recomandare de a verifica din nou manifestarea problemei.
Adam Williamson a sugerat că Nathan a implicat un agent AI pentru corectarea erorilor în Fedora și a cerut să se înceteze utilizarea agentului AI în modul offline. Nathan a răspuns că acesta nu este agentul său AI, că datele sale de autentificare au fost compromise și că cineva acționează în numele său. Ulterior, Nathan a publicat un mesaj conform căruia și-a restabilit accesul la conturile din Fedora și GitHub, precum și
a scris că contul său oficial pe GitHub este „nathangiovannini99.”
Mesajul a generat și mai multe întrebări, deoarece contul marcat a fost creat cu o oră înainte de publicarea scrisorii și în GitHub au apărut cel puțin alte două conturi asociate cu Nathan (leurus27-boop, nathan9513-aps). Nu era exclus ca un atacator, care a obținut acces la emailul lui Nathan, să continue să comunice cu dezvoltatorii Fedora. Accesul contului lui Nathan la Bugzilla a fost blocat și a fost inițiat un control al tuturor modificărilor aduse de el.
S-a constatat că activitatea suspectă a început pe 7 aprilie și unele dintre patch-urile trimise de Nathan doar ofereau iluzia unei remedieri. În acest context, astfel de patch-uri au fost acceptate în cadrul instalatorului Anaconda și au intrat în versiunea Anaconda 45.5. Mentenanța Anaconda a anulat modificările și a publicat versiunea Anaconda 45.6 fără aceste patch-uri.
În plus, remedierile trimise în numele lui Nathan au fost acceptate de dezvoltatorii utilitarului osc (OpenSUSE Commander) cu implementarea unei interfețe de linie de comandă pentru sistemul de construcție Open Build Service. Un alt patch a fost trimis pentru a fi inclus în pachetul lxqt-policykit legat de remedierea unei probleme din Fedora, dar dezvoltatorii Fedora au reușit să avertizeze mentenanța înainte de acceptarea acestuia. Patch-urile nu au inclus acțiuni malițioase, dar se presupune că ar fi putut fi o pregătire pentru introducerea unor modificări dăunătoare în componentele sistemului de construcție și a serviciului care facilitează efectuarea operațiunilor privilegiate. Remedierile trimise de Nathan au fost, de asemenea, observate în proiectele gwenview și easyeffects.
Sursa: opennet.ro
