Adam Williamson från Red Hat, som leder kvalitetssäkringsteamet för Fedora-projektet, uppmärksammade misstänkt aktivitet från Nathan Giovannini, som anslöt sig till Fedora-projektet 2016 och under en tid deltog i arbetet med Fedora Infrastructure Team. Det utesluts inte att den aktivitet som utförts under de senaste två månaderna under Nathans namn syftade till att vinna förtroende genom att samla historia av accepterade förändringar och delta i buggfixningar, innan illvilliga handlingar utfördes, såsom incidenten med att införa en bakdörr i paketet xz.
Misstänksamhet väcktes av att en tidigare relativt inaktiv utvecklare började engagera sig aktivt i buggdiskussioner och skicka patchar i maj, med mönster i denna aktivitet som var typiska för användning av AI. Till exempel förekom det AI-genererade sammanfattningar i kommentarerna, efter vilka Nathan bads att inte missbruka kopiering av AI-assistentens slutsatser.
Dessutom noterades meningslösa omskrivningar av problemrapporter i subsystem där Nathan inte är ansvarig (1, 2, 3), ändringar av status eller prioritet för att åtgärda problem (1, 2), publicering av AI-genererade rekommendationer till felrapporterande (1, 2, 3) och att skicka AI-genererade patchar. Utan att följa projektets regler stängde Nathan buggrapporter omedelbart efter att ha skickat AI-patchar till högre projekt, utan att vänta på deras godkännande, eller helt enkelt stängde dem med flaggan "NOTABUG" och förslaget att kontrollera problemets förekomst igen.
Adam Williamson föreslog att Nathan använde en AI-agent för att åtgärda buggar i Fedora och bad om att sluta använda AI-agenten i offline-läge. Nathan svarade att det inte är hans AI-agent, hans inloggningsuppgifter hade blivit komprometterade och någon utomstående agerade under hans namn. Kort därefter publicerade Nathan ett meddelande om att han hade återfått åtkomsten till sina konton på Fedora och GitHub, samt
skrev att hans officiella konto på GitHub är "nathangiovannini99."
Meddelelsen rejste endnu flere spørgsmål, da den anførte konto blev oprettet en time før udsendelsen af brevet, og der dukkede mindst to andre konti op på GitHub, som var associeret med Nathan (leurus27-boop, nathan9513-aps). Det blev ikke udelukket, at en angriber fortsatte med at kommunikere med udviklerne af Fedora, efter at have fået adgang til Nathans email. Adgangen til Nathans konto på Bugzilla blev blokeret, og der blev iværksat en gennemgang af alle de ændringer, han havde foretaget.
Det viste sig, at den mistænkelige aktivitet startede den 7. april, og nogle af de patches, som Nathan sendte, skabte kun indtrykket af, at der var tale om rettelser. Disse patches blev inkluderet i Anaconda-installerens kode og var med i Anaconda version 45.5. Den ansvarlige for Anaconda annullerede de foretagne ændringer og udgav Anaconda version 45.6 uden disse patches.
Derudover blev de ændringer, der blev sendt i Nathans navn, accepteret af udviklerne af værktøjet osc (openSUSE Commander), som implementerer et kommandolinjeinterface til Open Build Service. En anden patch blev sendt til inkludering i pakken lxqt-policykit med henvisning til en rettelse af et problem i Fedora, men udviklerne af Fedora nåede at advare den ansvarlige før accept. Patches indeholdt ikke ondsindede handlinger, men det antages, at de kunne have været et forberedelse til at foretage ondsindede ændringer i komponenter relateret til build-systemet og tjenesten, der muliggør udførelse af privilegerede operationer. De ændringer, Nathan sendte, blev også bemærket i gwenview- og easyeffects-projekterne.
Källa: opennet.ru
