Adam Williamson zo spoločnosti Red Hat, ktorý vedie tím pre zabezpečenie kvality projektu Fedora, zaznamenal podozrivú aktivitu Nathana Giovanniniho, ktorý sa k projektu Fedora pripojil v roku 2016 a krátko pôsobil v tíme pre infraštruktúru Fedory. Je možné, že aktivita vykonávaná v posledných dvoch mesiacoch pod Nathanovým menom mala za cieľ získať si dôveru zhromažďovaním histórie prijatých zmien a účasťou na opravách chýb pred spáchaním škodlivých akcií, ako v prípade incidentu so zadnými vrátkami xz.
Podozrenie vzbudilo, keď sa predtým tichý vývojár v máji začal aktívne zapájať do diskusií o chybách a odosielať záplaty, a to aj napriek tomu, že takáto aktivita vykazovala vzorce zodpovedajúce používaniu umelej inteligencie. Napríklad komentáre obsahovali zovšeobecnenia generované umelou inteligenciou, čo viedlo k varovaniu Nathana pred nadmerným kopírovaním záverov asistenta umelej inteligencie.
Okrem toho sa vyskytli prípady nezmyselného prepriradenia hlásení o problémoch v subsystémoch, ktorých správcom Nathan nie je (1, 2, 3), zmien v stave alebo priorite opráv problémov (1, 2), publikovania odporúčaní vygenerovaných umelou inteligenciou autorom hlásení o chybách (1, 2, 3) a odosielania záplat vygenerovaných umelou inteligenciou. V rozpore s projektovými pokynmi Nathan uzavrel hlásenia o chybách ihneď po odoslaní záplat umelou inteligenciou do projektov v nadradenom prostredí bez toho, aby čakal na ich prijatie, alebo ich jednoducho uzavrel s príznakom „NOTABUG“ a odporúčaním na opätovné preskúmanie problému.
Adam Williamson naznačil, že Nathan nasadil agenta umelej inteligencie na opravu chýb vo Fedore a požiadal ho, aby prestal agenta umelej inteligencie používať v samostatnom režime. Nathan odpovedal, že to nebol jeho agent umelej inteligencie, jeho prihlasovacie údaje boli ohrozené a niekto iný koná v jeho mene. Nathan potom zverejnil správu, že obnovil prístup k svojim účtom Fedora a GitHub, ako aj
napísal, že jeho oficiálny účet na GitHub je „nathangiovannini99“.
Správa vyvolala ešte viac otázok, keďže daný účet bol vytvorený hodinu pred zverejnením e-mailu a na GitHube sa objavili najmenej dva ďalšie účty spojené s Nathanom (leurus27-boop a nathan9513-aps). Bolo možné, že útočník, ktorý získal prístup k Nathanovmu e-mailu, stále komunikoval s vývojármi Fedory. Nathanovmu účtu bol zablokovaný prístup k Bugzille a bola spustená kontrola všetkých jeho zmien.
Ukázalo sa, že podozrivá aktivita sa začala 7. apríla a niektoré z opráv, ktoré Nathan odoslal, sa vydávali len za opravy. Tieto opravy však boli prijaté do inštalačného programu Anaconda a zahrnuté do vydania Anaconda 45.5. Správca Anaconda vrátil zmeny späť a vydal Anaconda 45.6 bez týchto opráv.
Okrem toho, záplaty odoslané v mene Nathana boli prijaté vývojármi nástroja osc (openSUSE Commander), ktorý implementuje rozhranie príkazového riadka pre službu Open Build Service. Ďalšia záplata bola odoslaná na zaradenie do balíka lxqt-policykit s opravou problému vo Fedore, ale vývojári Fedory upozornili správcu pred jej prijatím. Záplaty neobsahovali škodlivé akcie, ale existuje podozrenie, že mohli byť prípravami na zavedenie škodlivých zmien do komponentov systému zostavovania a služby, ktorá umožňuje privilegované operácie. Záplaty odoslané Nathanom boli videné aj v projektoch gwenview a easyeffects.
Zdroj: opennet.ru
