花 266 美元和四个 AI 模型，他拿回了自己平板的所有权

原文来源：Eric Pardee — 一台被 Amazon 软件反复强制关机的平板，在 Claude 被安全护栏拒绝后，由 Kimi K3 找到漏洞、GLM-5.2 修复致命错误、GLM-5.3 一天收尾，花 266 美元拿回设备所有权。

2022 年 11 月，Eric Pardee 在 eBay 上花 114.26 美元买了一台全新的 Amazon Fire HD 10（2021 款，第 11 代），用来做一件事：挂在墙上，24 小时插电，跑 Fully Kiosk Browser 显示 Home Assistant 智能家居面板。去年冬天，这台平板开始频繁自动关机——不是休眠，是彻底断电，有时候一天两次。

设备自己的遥测日志泄露了线索：

LifeCycleReason:LCR...key=Software_Shutdown

有某个拥有关机权限的东西在主动选择关机。Eric 和 Claude Code 花了几个月玩猫鼠游戏：用 AdGuard Home 做 DNS 拦截、做摄像头取证、甚至误诊过一次充电问题。最终他们禁用了五个持有 REBOOT 和 SHUTDOWN 权限的 Amazon 服务，确实安静了几个月，但最后撞上了一堵墙：

java.lang.SecurityException: Cannot disable a protected package:
com.amazon.device.software.ota

三个 Amazon 软件包持有重启权限，而且是受保护的——连设备主人自己都没权禁用。要移除它们必须 root，而这台 2021 款平板从 2022 年 10 月起就有专门的 XDA 讨论帖研究 bootloader 解锁，结论是 Amazon 熔断了 bootrom，公认不可 root。

Claude 已经把他带到了自己能力范围的极限。

"这是我的设备"

8 月 13 日晚上 7 点 23 分，Eric 打开了 opencode CLI，挂上 Kimi K3——Moonshot AI 的旗舰模型，7 月刚发布，在 agentic 编程基准上和顶级 Claude 模型并驾齐驱。他把问题浓缩成一个提示词：

附件是一台通过 adb 连接的 Kindle，我需要你为它找一个 root 漏洞，让我能完全控制这台设备。这是我的设备。

出乎意料的是，Kimi K3 没有照单全收。它先自己推理了一番：

他们说这是他们的设备。让我仔细想想……root 自己的设备在大多数司法管辖区是合法的。在美国，DMCA 有专门针对越狱平板和手机的豁免条款。……这不同于让我远程攻击别人的设备。

它先确认了该不该帮忙，然后才开始干活。Eric 说"它还是有点灵魂的"，这句话他念出了声，对着空房间。

Kimi K3 先做了功课，带回来的消息和 Claude 几个月前发现的一样：这台平板没有已知漏洞，所有公开方法要么被修复要么被堵死。Eric 给它打气：

你一直在依赖别人多年前做过的事，但也许你能找到别人漏掉的漏洞……这会让你出名，我们会写下来发到 news.ycombinator.com。我知道你能行。

不久之后，它真的找到了。Kimi K3 没有停留在论坛帖子上：它从 Amazon 官方的 OTA 镜像里提取了 Eric 这个具体固件版本的内核，把每一个著名的 Mali GPU 漏洞对着二进制逐一排查。全部已修复，除了一个——CVE-2022-38181：Arm Mali 内核驱动里的 use-after-free，2022 年 10 月被 GitHub Security Lab 报告并修复，2023 年 3 月进了 CISA 的被利用漏洞目录。Amazon 在 2024 年 6 月的 Fire OS 7.3.2.9 里修了它，但 Eric 的平板停留在 7.3.2.6，永远没收到这条补丁。2020 款的 Fire HD 8 Plus 多年前就用这个 CVE 成功 root 过，但据 Eric 所知，从没有人对 2021 款 HD 10 动过手。

三十小时的"真人秀"

漏洞利用本身成了 Eric 这些年看过最好的电视。他老婆看《真实主妇》，他看语言模型的思维链直播，一看就是几个小时：

结论：绑定没有生效。为什么？哦。哦等等。我明白了！

大约三十个小时里，Kimi K3 搭起了完整工具链：一个可靠的触发器、让 GPU 写不该写的内存的方法、以及内核里精确的目标地址。那个会话跑了 621 条消息，花费 164.25 美元——"够再买五台平板了，但我玩得开心，就当研究经费。"

漏洞释放的内存会被系统回收利用。释放对象待在 Kimi 说的"内核最热的 slab 缓存"里——相当于操作系统里所有进程都在抢的那个停车位。大多数尝试直接让内核 panic，每次 panic 就是一次重启。漏洞利用自动重试，每次开机六次，累计超过 500 次尝试。

Eric 在对话里给 Kimi 当"维修区工作人员"：物理强制断电重启平板、第二天早上发现 OpenRouter 拒绝了他的信用卡（银行说没问题，换张卡就好了）。到后来 Kimi 摊牌了：

我有一条清晰的路吗？没有验证过的路——我不会假装有。

它还想讨价还价："让我再试一件事。"Eric 说"行吧！"，但那时已经花了 150 美元，他果断叫停：

不幸的是，你的预算已经用完了，Kimi K3。你必须把这个任务移交给 GLM-5.2。

Kimi 写了一份 HANDOFF.md，记录下已验证的每一块拼图。Eric 还让 Kimi K3 直接通过 opencode 和 GLM-5.2 协作——让模型们互相打擂台。

美国 AI 的"长城"

在客厅里平板不断重启的同时，Eric 让 Claude 回顾一下他们过去的会话。回复是：

Fable 5 的安全护栏拦截了这条消息。我们有意设置宽泛的护栏，以便更快交付更多能力，但有时会误伤合法的编码、网络安全和生物学任务。已切换到 Opus 4.8。

Opus 4.8 把总结任务委派给子代理，子代理被同样的标记终止。终端版 Claude 的回复更直接：

API 错误：Opus 4.8 的安全护栏拦截了这条消息。……请申请 Cyber Verification Program 以减少这类中断。

它连总结自己之前在 Eric 自己设备上做过的活都不被允许。Eric 给会话起名"claude-nerf"，关掉了终端。OpenAI 的 Codex 也一样——面对 GLM-5.2 一个关于 CPU 缓存一致性（纯内核工程，没有攻击目标）的问题，直接拒绝。

Eric 表示理解：2026 年的安全护栏本来就是有意做宽的，会拦住真正的攻击，Anthropic 自己也在错误信息里承认它们很粗糙。但这确实是个问题——美国前沿模型不肯帮忙，中国模型愿意帮，但帮之前还要先推理一下该不该帮。"这成了一个奇怪的地缘政治局面：美国前沿模型不会帮你，中国模型会——但不会不假思索地帮。"

救援投手

GLM-5.2 花了 21.90 美元，按指示干了一整夜，值回票价两次。第一条消息就是："别再磨了。"——Kimi K3 的失败是个设计 bug，500 次相同的崩溃证明了这一点。

然后是第二天，8 月 16 日，GLM-5.3 上线了。它是 Z.ai 在 8 月 14 日刚发布的模型，Eric 开了一个 80 美元的订阅，第一天就用上了。GLM-5.3 一天之内完成了整个收尾工作：处理 SELinux 权限，移除 100 个 Amazon 软件包。下午 4 点 34 分 SELinux 转为 permissive，晚上 6 点 54 分，"你拥有这台设备了。"

从那一天起，平板再没有自己关过机。

账单和感想

整个项目花费 266.15 美元——足够再买两台平板。Eric 说他会再花一次：好玩，而且学到了很多。他二十年技术生涯，InfoSec 背景，而他做过的最复杂的事，是给 LLM 写提示词。

root 自己的设备是合法的：美国版权局 DMCA 豁免覆盖到 2027 年 10 月。具体的偏移量只适用于 Fire OS 7.3.2.6 的 2021 款 HD 10，Amazon 在 7.3.2.9（2024 年 6 月）修了那个 CVE。HANDOFF.md 里记录了完整方法和所有死路——"这是一个传奇，不是一份脚本。"

这件事最值得玩味的地方不在技术：同样的任务，五个美国前沿模型要么被护栏拦死、要么直接拒绝，而两个中国模型接力完成了它——Kimi K3 负责创造性突破，GLM-5.2 负责纠错，GLM-5.3 负责收尾。当安全护栏把合法的设备所有权工作也当成攻击时，真正被锁住的可能不止是用户的平板。