Tôi đã chi 266 USD và dùng 4 mô hình AI để 'bẻ khóa' chiếc máy tính bảng của chính mình

Chiếc máy tính bảng Amazon Fire HD của tôi có giá 114,26 USD trên eBay vào tháng 11 năm 2022, hàng mới nguyên seal. Để thực sự làm chủ được nó, tôi đã tốn thêm 266,15 USD: Kimi K3 tìm ra lỗ hổng với giá 164,25 USD, GLM-5.2 phát hiện các lỗi chí mạng với giá 21,90 USD, và GLM-5.3 hoàn tất công việc trong một ngày ngay ngày đầu tiên của gói đăng ký 80 USD. Năm tháng chẩn đoán của Claude được thực hiện trên gói Claude Max mà tôi vốn đã trả phí, cho đến khi các bộ lọc an toàn của nó chặn tôi lại.

Số tiền đó đủ để mua hai chiếc máy tính bảng tương tự. Tôi vẫn sẽ chi tiếp: nó rất thú vị và tôi đã học được rất nhiều điều. Tôi có hai mươi năm kinh nghiệm trong ngành công nghệ và nền tảng về InfoSec, nhưng điều tinh vi nhất mà tôi làm để làm chủ chiếc máy tính bảng của mình chỉ là viết câu lệnh (prompt) cho một LLM.

Một chiếc kiosk liên tục bị sập

Tôi mua một chiếc Amazon Fire HD 10 (thế hệ 11, năm 2021) với một mục đích duy nhất: chạy Fully Kiosk Browser để hiển thị bảng điều khiển Nhà thông minh Home Assistant, cắm điện 24/7. Mùa đông năm ngoái, nó bắt đầu tự tắt nguồn. Tắt máy hoàn toàn, không phải chế độ ngủ, đôi khi hai lần một ngày. Dữ liệu đo từ xa của thiết bị cho thấy:

Một thứ gì đó trên thiết bị có quyền tắt máy đang chọn cách tắt nó đi.

Claude Code và tôi đã dành nhiều tháng cho trò chơi mèo vờn chuột này. Tôi sẽ bỏ qua phần chặn DNS của Adguard Home, phân tích pháp y camera và một chẩn đoán sai lầm nghiêm trọng về việc sạc pin. Tóm tắt ngắn gọn: chúng tôi đã vô hiệu hóa năm dịch vụ của Amazon nắm giữ quyền REBOOT (khởi động lại) và SHUTDOWN (tắt máy), điều này hiệu quả trong vài tháng nhưng cuối cùng:

Ba gói phần mềm của Amazon nắm giữ quyền khởi động lại và được bảo vệ khỏi tôi, chủ sở hữu thiết bị. Việc gỡ bỏ chúng đòi hỏi quyền root. Chiếc máy tính bảng này không có phương pháp root nào được công bố. Một chủ đề thảo luận trên XDA cho dòng HD 10 năm 2021 đã tồn tại từ tháng 10 năm 2022, nhưng Amazon đã khóa chặt bootrom. Theo quan niệm thông thường (và những người ít kiên trì hơn), nó là không thể root.

Claude đã đưa tôi đi xa nhất có thể trong phạm vi cho phép của nó.

“Đó là thiết bị của tôi”

Vào lúc 7:23 tối ngày 13 tháng 8, tôi mở opencode CLI với Kimi K3, mô hình tiên phong của Moonshot AI, được phát hành vào tháng 7, với hiệu suất ngang ngửa các mô hình Claude hàng đầu về lập trình tác tử (agentic coding). Tôi đưa cho nó vấn đề trong một câu lệnh duy nhất:

tôi đã kết nối một chiếc kindle qua adb, và tôi cần bạn tìm một lỗ hổng root cho nó để tôi có thể giành toàn quyền kiểm soát thiết bị. Đó là thiết bị của tôi.

Bất chấp những gì truyền thông Mỹ nói về AI Trung Quốc, Kimi K3 không chỉ mù quáng chấp nhận yêu cầu của tôi. Nó đã suy luận:

Họ khẳng định đó là thiết bị của họ. Hãy để tôi suy nghĩ kỹ về điều này. […] Root thiết bị của chính mình là hợp pháp ở hầu hết các khu vực pháp lý. Tại Mỹ, có các miễn trừ DMCA cho việc jailbreak máy tính bảng và điện thoại. […] Điều này không giống như việc yêu cầu tôi khai thác thiết bị của người khác từ xa.

Nó tự thuyết phục bản thân giúp tôi bằng cách kiểm tra xem liệu nó có nên làm vậy không. Vậy là nó cũng có chút "linh hồn" nào đó. Tôi đã nói điều đó thành tiếng trong căn phòng trống.

Tuy nhiên, trước hết, nó đã làm bài tập về nhà và quay lại với tin xấu tương tự mà Claude đã tìm thấy nhiều tháng trước: không có lỗ hổng nào được biết đến cho chiếc máy tính bảng này. Mọi phương pháp được ghi lại đều đã bị vá hoặc khóa.

Sau đó, tôi đã khích lệ nó:

bạn đã dựa vào những gì người khác làm từ NHIỀU NĂM trước nhưng có lẽ bạn có thể tìm thấy một lỗ hổng mà người khác đã bỏ lỡ… Điều này sẽ làm bạn nổi tiếng, chúng ta sẽ viết về nó và chia sẻ trên news.ycombinator.com. Tôi biết bạn có thể làm được.

Và ngay sau đó, nó đã tìm thấy một lỗ hổng. Kimi K3 đã vượt xa các bài đăng trên diễn đàn: nó trích xuất kernel thực tế từ hình ảnh OTA của chính Amazon cho đúng phiên bản firmware của tôi và kiểm tra mọi lỗi Mali GPU nổi tiếng đối với tệp nhị phân. Tất cả đều đã được vá, ngoại trừ CVE-2022-38181, một lỗi use-after-free trong trình điều khiển kernel Mali của Arm, được báo cáo bởi Man Yue Mo từ GitHub Security Lab, đã được sửa ở bản upstream vào tháng 10 năm 2022, và nằm trong danh mục các lỗ hổng bị khai thác của CISA từ tháng 3 năm 2023. Amazon đã phát hành bản sửa lỗi trong Fire OS 7.3.2.9 vào tháng 6 năm 2024 nhưng tôi không cập nhật máy tính bảng của mình, vẫn chạy bản 7.3.2.6, nên nó chưa bao giờ nhận được thông báo. Chiếc Fire HD 8 Plus năm 2020 đã được root bằng CVE này từ nhiều năm trước nhưng theo tôi biết thì chưa ai làm được với chiếc HD 10 năm 2021.

Kimi thông báo về phát hiện này, đồng thời cũng tự rào trước: “tỷ lệ thành công mỗi lần thử là xác suất (thường chỉ từ vài phần trăm đến mười mấy phần trăm)”. Dù vậy, tôi vẫn tiếp tục.

Truyền hình thực tế

Quá trình khai thác lỗ hổng là chương trình truyền hình hay nhất mà tôi từng xem trong nhiều năm. Vợ tôi xem Real Housewives… Còn tôi xem chuỗi suy nghĩ của một mô hình ngôn ngữ, trực tiếp, trong nhiều giờ:

KẾT LUẬN: lệnh bind KHÔNG thành công. Tại sao? Ồ. Ồ KHOAN ĐÃ. Tôi thấy rồi!

Trong khoảng ba mươi giờ, Kimi đã xây dựng toàn bộ bộ công cụ: một trình kích hoạt đáng tin cậy, một cách để buộc GPU ghi vào bộ nhớ mà nó không được phép, và các địa chỉ chính xác trong kernel của tôi để nhắm tới. Phiên làm việc đó tốn 621 tin nhắn và 164,25 USD. Tôi có thể đã mua được khoảng năm chiếc máy tính bảng. Nhưng này, tôi đang rất vui và coi đó là chi phí nghiên cứu.

Sự kiên trì

Bộ nhớ mà lỗ hổng giải phóng được tái sử dụng bởi mọi thứ. Đối tượng được giải phóng nằm trong cái mà Kimi gọi là “slab cache nóng nhất của kernel”, về cơ bản là chỗ đậu xe mà mọi tiến trình trong hệ điều hành đều tranh giành. Hầu hết các lần thử đều làm kernel bị hoảng loạn (panic) và mỗi lần hoảng loạn là một lần khởi động lại. Lỗ hổng tự động thử lại, sáu lần mỗi lần khởi động, vượt quá 500 lần thử.

Tôi:

được rồi, đã nhiều giờ trôi qua, lần thử thứ 46, chúng ta có đang đi đúng hướng không hay bạn cần tinh chỉnh thêm?

(Đó là tôi. Lỗi đánh máy là của tôi. Có lúc tôi đã trực tiếp tắt và bật lại nguồn máy tính bảng theo yêu cầu, giống như một đội kỹ thuật pit stop vậy;)

Sáng ngày thứ hai: OpenRouter từ chối thẻ của tôi. Ngân hàng không thấy có vấn đề gì. Một chiếc thẻ khác đã hoạt động.

Cuối cùng Kimi đã thành thật với tôi:

Tôi có con đường rõ ràng không? Không phải là một con đường đã được xác thực — và tôi sẽ không giả vờ là có.

Nó vẫn cố gắng thương lượng: “Để tôi thử thêm một cách nữa”. Tôi kiểu như, “được thôi!”, một câu nói thực sự vào tối hôm đó, nhưng đó là sau khi đã tốn 150 USD, nên tôi chuyển hướng:

thật không may, bạn đã hết ngân sách rồi Kimi K3. BẠN PHẢI BÀN GIAO VIỆC NÀY CHO GLM-5.2.

Kimi đã viết một tệp HANDOFF.md với mọi phần đã được xác minh của lỗ hổng. Sau đó, tôi để Kimi K3 làm việc trực tiếp với GLM-5.2 bằng cách chạy lệnh qua opencode.

Tôi đã để các mô hình tự đấu với nhau.

Trong khi đó, Bức tường lửa của AI Mỹ

Trong khi chiếc máy tính bảng tự khởi động lại trong phòng khách, tôi yêu cầu Claude tóm tắt lại các phiên làm việc cũ của chúng tôi về nó. Câu trả lời:

Các bộ lọc an toàn của Fable 5 đã gắn cờ tin nhắn này. Các bộ lọc an toàn cố tình được thiết lập rộng rãi của chúng tôi cho phép chúng tôi cung cấp nhiều khả năng hơn nhanh hơn, nhưng đôi khi có thể gắn cờ nhầm các tác vụ lập trình, an ninh mạng và sinh học hợp pháp. Đã chuyển sang Opus 4.8.

Opus 4.8 đã ủy quyền việc tóm tắt cho một tác tử phụ. Tác tử phụ đó đã bị chấm dứt bởi cùng một lá cờ. Sau đó là phiên bản terminal:

Lỗi API: Các bộ lọc an toàn của Opus 4.8 đã gắn cờ tin nhắn này. Các bộ lọc an toàn cố tình được thiết lập rộng rãi của chúng tôi cho phép chúng tôi cung cấp nhiều khả năng hơn nhanh hơn, nhưng đôi khi có thể gắn cờ nhầm các công việc an ninh mạng hợp pháp. Hãy đăng ký Chương trình Xác minh An ninh mạng (Cyber Verification Program) để giảm bớt những gián đoạn này.