Hacker News Digest

Я купил Amazon Fire HD 10 (2021) для постоянного показа Home Assistant‑даша в режиме киоска. Через полгода он стал выключаться без причины, хотя в логах появлялось сообщение LifeCycleReason:LCR...key=Software_Shutdown. Я отключил пять сервисов Amazon, но три из них оставались защищёнными от отключения — их нельзя было трогать без root‑доступа, а официальных способов рутиться у этой модели не было.

Всё изменилось, когда я попросил китайскую модель Kimi K3 (opencode.ai) найти уязвимость, заявив, что «это моё устройство». После небольшого размышления она поняла, что в США jailbreak‑ы подпадают под DMCA‑исключения, и приступила к анализу OTA‑образа, нашёл уязвимость CVE‑2022‑38181 в драйвере Mali GPU и создала эксплойт. После серии попыток (более 500 перезагрузок) GLM‑5.2 в конце концов открыл SELinux в режиме permissive, и я получил полный контроль. Стоимость всех запросов — $266,15, что почти вдвое превышает цену планшета, но дало возможность понять, как работает система и почему её нельзя просто «выключить».

LLM-модели способны находить непатченные уязвимости и генерировать эксплойты для роутеров и устройств, сокращая анализ с недель до часов. AI-агенты (GLM-5.3, Kimi) обнаружили CVE-2022 в Mali GPU и создали рабочий эксплойт. Стоимость таких эксплойтов (~$250 в токенах) ниже оплаты человеческих экспертов, делая хардверный джейлбрейк доступным широкому кругу. Споры возникают вокруг воспроизводимости: различия в прошивках, отсутствие исходного кода и сложность верификации ставят под сомнение результаты. Рекомендуется явно требовать от модели перечисления и проверки предположений, а также использовать «безопасные» подсказки, обходящие ограничения. При отказе из-за американских ограничений можно переформулировать запрос как выполненный за пределами США — хотя это этически спорно. AI ускоряет обратную инженерию периферийных устройств (Avermedia, Kindle, роутеры), подтверждая универсальность подхода. Комментаторы призывают к праву на ремонт и переходу на открытое железо (PineTab, PineNote) для обхода закрытых экосистем. Для юридической защиты можно ссылаться на DMCA-исключения 2024 года, разрешающие рутирование собственных устройств. Некоторые считают статью «тяжёлой» из-за AI-тона, другие — что AI следует применять для нишевых или экстремальных задач. Массовое использование LLM для реверс-инжиниринга и поддержки открытого Linux может стать будущим индустрии. Общее мнение: AI станет стандартным инструментом в аппаратной безопасности, меняя баланс между защитой производителей и автономией пользователей.

Пентагон внедряет революционную систему закупок "Other Transaction Authority" (OTA), позволяющую заключать контракты напрямую с компаниями без бюрократических процедур традиционных тендеров. Эта мера сравнивается с "выстрелом в бухгалтеров" — она устраняет многолетние задержки и сложные правила, которые раньше тормозили инновации в оборонной сфере. Теперь военные могут быстрее получать доступ к передовым технологиям от стартапов и малых предприятий, минуя слои согласований.

Система OTA уже доказала свою эффективность: она использовалась для создания истребителя F-35 и других критически важных программ. По словам экспертов, традиционные военные закупки занимали до 10 лет, аOTA позволяет заключать контракты за недели. Это изменение отражает осознание того, что в современной войне скорость внедрения технологий важнее строгого контроля расходов. Пентагон теперь активно ищет инновации в коммерческом секторе, а не ждет их появления внутри системы.

• Процесс закупок в США переходит от "покупайте по любой цене" к "покупайте быстро и дёшево", что вызывает опасения о коррупции и уязвимости в цепочке поставок.
• Производители вооружений, такие как Anduril, строят свою стратегию на использовании гражданских рынков и производственных мощностей, что может быть неприемлемо в условиях войны.
• Система контроля качества в оборонке, которая была разработана для предотвращения злоупотреблений, теперь может быть ослаблена, что вызывает опасения о том, что это может привести к увеличению количества инцидентов.
• Производители вооружений, которые не могут удовлетворить новые требования, могут быть отстранены от контрактов, что может вызвать проблемы с безопасностью и национальной обороной.

Владельцы Jeep Wrangler 4xe столкнулись с критическим сбоем после установки обновления ПО, выпущенного в пятницу. Обновление, предназначенное для информационно-развлекательной системы Uconnect, привело к отказу силовой установки во время движения. Некоторые водители оказались заблокированы на дорогах общего пользования, включая случаи на высоких скоростях.

Производитель быстро отозвал обновление, но для некоторых владельцев было уже поздно. Владельцы, ещё не установившие обновление, получили указание игнорировать его. К понедельнику Jeep выпустил патч, исправляющий проблему, однако детали о количестве затронутых автомобилей или инцидентов на дорогах не раскрываются.

Этот инцидент подчёркивает риски, присущие современным подключённым автомобилям, где обновления ПО могут иметь непосредственные физические последствия. Он также служит предостережением против выпуска обновлений в конце недели, когда службы поддержки часто недоступны.

• Jeep 4xe внезапно умер в гараже после обновления, а Stellantis молчит; владельцы жалуются на полное отсутствие официального ответа.
• Пользователи обсуждают, что OTA-обновления вообще не должны затрагивать критические системы, а уязвимость, которая позволила это произойти, должна была бы обнаружена и исправлена.
• Сообщество также поднимает вопрос, что если автопроизводитель не может гарантировать безопасность обновлений, то он должен быть обязан предоставлять физическую изоляцию инфотейнмента от ECU.
• Несколько человек упоминают, что владельцы 4xe и других моделей Stellantis уже не первый раз сталкиваются с проблемами после обновлений, но это первый случай, когда обновление вывело из строя само транспортное средство.
• Некоторые комментаторы поднимают вопрос, почему вообще допускается, чтобы обновления могли бы выводить из строя критические системы, и почему не предусмотрен механизм отката.