Eksploit Chrome: AI bantu tembus pertahanan dalam enam hari

JAKARTA — Eksploit Chrome yang dikembangkan peneliti keamanan Xbow dapat menjalankan kode di komputer Windows di luar perlindungan sandbox browser. Google sudah menambal tiga celah yang dirangkai untuk serangan itu, tetapi pengguna baru mendapat perlindungan setelah memperbarui dan membuka ulang Chrome.

Tim Xbow menghabiskan enam hari untuk menemukan celah dan menyusun serangan dengan bantuan model kecerdasan buatan GPT-5.6 Sol dari OpenAI. Perusahaan memperkirakan rangkaian eksploit itu berpotensi berdampak pada sekitar satu miliar pengguna di seluruh dunia.

Google membayar Xbow hadiah bug sebesar 250.000 dolar AS, nilai tertinggi yang diberikan perusahaan untuk eksploit penuh yang menembus sejumlah lapisan keamanan Chrome. Bagi pengguna, langkah paling konkret sekarang adalah memastikan browser menggunakan versi 152.0.7977.82 atau yang lebih baru, lalu memulai ulangnya.

Eksploit Chrome melewati dua lapisan perlindungan

Chrome menggunakan sandbox untuk membatasi dampak jika penyerang berhasil mengeksploitasi sebuah situs atau komponen browser. Perlindungan itu berlapis: sandbox V8 membatasi kerusakan pada mesin JavaScript, sementara sandbox proses sistem operasi menahan akses ke bagian lain komputer.

Rangkaian serangan Xbow menembus kedua batas itu melalui tiga tahap kerentanan. Peneliti menggabungkan bug pada compiler Maglev di V8, celah pada dekoder WebP animasi, serta bug keamanan memori di Crashpad.

Bug Maglev berkaitan dengan penggunaan ulang angka yang dapat berubah saat proses deoptimisasi. Menurut uraian teknis peneliti Xbow, celah itu memberi penyerang kemampuan membaca dan menulis di area memori V8 yang dilindungi pemampatan pointer.

Tahap berikutnya memakai celah WebP animasi untuk keluar dari sandbox V8. Tahap terakhir mengeksploitasi overflow di Crashpad, sehingga penyerang dapat melewati batas sandbox proses dan menjalankan kode tanpa pembatasan sandbox pada komputer Windows.

“Rangkaian itu melintasi kedua batas melalui tiga tahap kerentanan,” tulis Brendan Dolan-Gavitt dalam penjelasan teknisnya. Google telah memperbaiki ketiga masalah tersebut.

Peran AI dalam eksploit Chrome dan pekerjaan peneliti

Model AI membantu tim menelusuri kode sumber, menguji hipotesis, serta mengembangkan bukti konsep dan tahapan eksploit. Namun, peneliti Xbow tetap menentukan sasaran, memberi konteks kepada agen AI, memeriksa hasilnya, dan memilih komponen mana yang dirangkai.

Dengan kata lain, model tidak bekerja sendiri. Keputusan dan penilaian manusia menjadi bagian penting dalam menyatukan celah-celah itu menjadi serangan yang dapat berjalan sampai ke sistem operasi.

Empat peneliti yang terlibat adalah Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee, dan Willem Pinckaers. Menurut Xbow, mereka bekerja selama enam hari di sekitar konferensi Black Hat dan DEF CON, dengan biaya token sekitar 40.000 dolar AS.

Oege de Moor, pendiri sekaligus CEO Xbow, mengatakan kecepatan kerja tim menjadi hal yang menonjol. “Angka pada cek itu mengesankan, tetapi waktu yang dibutuhkan tim kami, dengan bantuan model AI yang tersedia untuk publik, untuk membobolnya bahkan lebih mengesankan,” ujarnya pada Selasa.

De Moor juga membandingkan hasil tersebut dengan pengalaman seorang veteran badan intelijen yang mengatakan timnya dahulu membutuhkan enam bulan untuk menemukan kerentanan semacam itu dan memperoleh akses penuh. Xbow, kata dia, menyelesaikan pekerjaan tersebut dalam enam hari.

Pembaruan Chrome perlu diikuti dengan mulai ulang

Kasus ini memperlihatkan risiko ketika beberapa bug yang terpisah dapat dirangkai menjadi jalur serangan lengkap. Sebuah celah mungkin hanya membuka akses terbatas, tetapi rangkaian yang menembus beberapa lapisan dapat membawa dampak sampai ke komputer pengguna.

Bagi masyarakat dan organisasi di Indonesia yang memakai Chrome di Windows, pembaruan otomatis saja belum cukup jika browser belum dimulai ulang.

Chrome memasang pembaruan secara otomatis, tetapi perbaikan baru berlaku setelah pengguna membuka kembali browser. Karena itu, pengguna perlu memeriksa versi yang terpasang dan melakukan mulai ulang bila pembaruan sudah tersedia.

Dolan-Gavitt menilai pemanfaatan model bahasa besar menurunkan hambatan bagi penyerang untuk mengembangkan eksploit. “Bersiaplah untuk bertahan,” tulisnya.