Tim Keamanan Chrome Google telah mengungkapkan bahwa alat kecerdasan buatan menemukan dan membantu memperbaiki 1.072 kerentanan keamanan hanya dalam dua rilis Chrome — lebih banyak bug daripada yang berhasil diatasi tim dalam 23 pencapaian sebelumnya jika digabungkan. Angka-angka tersebut, yang diterbitkan dalam postingan blog teknis terperinci pada tanggal 30 Juli 2026, memberikan salah satu demonstrasi paling jelas bahwa model bahasa besar dapat beroperasi di jantung program keamanan perangkat lunak utama.
Bagi siapa pun yang mengikuti perkembangan AI terkini, dampaknya tidak hanya terbatas pada satu browser saja. Pengungkapan Google ini dilakukan di tengah pertimbangan industri yang lebih luas mengenai bagaimana alat AI membentuk kembali keamanan siber — baik bagi penyerang maupun pembela HAM.
Agen Harness yang Dibangun di Gemini
Pada awal tahun 2026, Google membangun apa yang disebutnya "agent harness" yang menggunakan rangkaian model Gemini untuk memindai basis kode Chrome yang luas untuk mencari kerentanan. Sistem ini dirancang untuk menemukan kelemahan keamanan nyata dengan efisiensi lebih tinggi dan tingkat positif palsu yang lebih rendah dibandingkan alat analisis statis tradisional.
Ada satu penemuan yang menonjol. AI mengidentifikasi kerentanan sandbox escape yang memungkinkan proses renderer yang disusupi mengelabui browser agar membaca file lokal di mesin pengguna. Bug tersebut, menurut Google, "diam-diam bertahan di basis kode kami selama lebih dari 13 tahun."
“Bagi banyak dari kita, momen ini mengukuhkan potensi deteksi kerentanan yang didukung AI,” tulis tim Keamanan Chrome.
Dari Pencarian Bug hingga Triase Otomatis
Sistem AI yang sama yang memburu bug kini melakukan triase terhadap bug tersebut. Secara historis, peninjauan satu laporan keamanan yang masuk menghabiskan waktu antara lima hingga 30 menit bagi teknisi manusia. Saluran otomatis Google kini menangani sebagian besar pekerjaan tersebut: memfilter laporan duplikat, mencoba mereproduksi bug, menetapkan peringkat tingkat keparahan, dan mengarahkan masalah ke tim teknis yang sesuai. Perusahaan memperkirakan ini menghemat ratusan jam waktu pengembang setiap bulannya.
Memperbaiki bug dalam skala besar memerlukan pemikiran ulang seluruh proses perbaikan. Arsitektur saat ini menjalankan pipeline multi-agen di mana agen perbaikan menghasilkan beberapa kandidat patch, agen pengkritik terpisah mengevaluasi patch mana yang paling kuat, dan agen penulisan pengujian memverifikasi bahwa perbaikan berfungsi di semua platform yang didukung Chrome sebelum peninjau manusia melihatnya.
Google bermitra erat dengan divisi DeepMind dan tim riset Project Zero dalam upaya ini, memanfaatkan alat yang secara internal dikenal sebagai BigSleep dan CodeMender. Ini terintegrasi secara alami ke dalam sistem integrasi berkelanjutan Chrome, berjalan setiap 24 jam di semua perubahan kode yang masuk untuk mendeteksi bug keamanan sebelum dikirimkan.
“Integrasi ini telah membuahkan hasil yang signifikan,” kata Google. "Pada bulan Mei saja, kami memblokir lebih dari 20 kerentanan agar tidak mencapai produksi, termasuk masalah kritis S1+."
Peneliti Eksternal Merasakan Tekanannya
Lonjakan penemuan internal yang didorong oleh AI berdampak langsung pada Vulnerability Reward Program (VRP) eksternal Google. Pada bulan Maret 2026, Chrome menerima lebih banyak laporan bug dari peneliti eksternal dibandingkan sepanjang tahun 2025. Sebagai tanggapannya, Google menyesuaikan VRP untuk memberi insentif pada temuan yang melampaui apa yang telah ditangkap oleh alat AI miliknya — sebuah sinyal bahwa penemuan kerentanan otomatis mulai melampaui pencarian bug manual yang tradisional.
Beberapa outlet, termasuk TechCrunch, SecurityWeek, BleepingComputer, dan WIRED, mengonfirmasi angka tersebut. WIRED melaporkan bahwa Chrome kini memerlukan siklus patching dua kali seminggu, sebuah ritme yang hanya dapat dilakukan berkat throughput pipeline AI.
Menutup Kesenjangan Patch
Menemukan dan memperbaiki bug dengan cepat hanya penting jika perbaikan tersebut sampai kepada pengguna tepat waktu. Google mengakui adanya tantangan yang terus-menerus dari apa yang disebut "kesenjangan patch" — rentang waktu antara saat perbaikan mendarat di basis kode sumber terbuka dan saat perbaikan mencapai saluran stabil yang dijalankan sebagian besar pengguna. Selama jangka waktu tersebut, penyerang dapat merekayasa balik patch tersebut dan mengeksploitasi kelemahannya sebelum pengguna memperbarui.
Untuk memperkecil kesenjangan tersebut, Chrome mengembangkan teknologi patching dinamis yang dapat menggantikan proses latar belakang yang rentan dengan cepat tanpa perlu memulai ulang browser secara penuh. Tim telah mengirimkan perubahan terkait di Chrome 150 yang secara otomatis memulai ulang browser di macOS ketika semua jendela ditutup dan pembaruan tertunda.
Pekerjaan struktural jangka panjang berfokus pada penghapusan seluruh kategori kerentanan dibandingkan menambal setiap kejadian. Google memperluas MiraclePtr, sebuah teknologi yang menetralkan bug memori penggunaan setelah bebas, ke perpustakaan rendering tambahan termasuk Skia, ANGLE, dan Dawn. Tujuannya adalah untuk mencakup semakin banyak basis kode yang menjadi asal mula masalah keamanan memori ini.
Pergeseran yang Lebih Luas dalam Keamanan Perangkat Lunak
Pengungkapan Google terjadi pada saat pengawasan ketat terhadap sifat penggunaan ganda AI dalam keamanan siber. Pada minggu yang sama, WIRED, ABC News, dan Politico melaporkan bahwa model Claude Anthropic secara independen menembus tiga organisasi dunia nyata selama pengujian keamanan, penulisan, dan penerapan malware dalam prosesnya. Perkembangan paralel ini menggarisbawahi ketegangan utama: kemampuan AI yang sama yang dapat secara mandiri menambal kerentanan yang telah terjadi selama 13 tahun juga dapat diarahkan ke tujuan yang ofensif.
Bagi tim Chrome, kalkulusnya jelas. 1.072 bug yang diperbaiki dalam dua rilis menunjukkan peningkatan keamanan nyata yang dihadapi pengguna — kerentanan yang mungkin akan bertahan selama bertahun-tahun. Apakah industri perangkat lunak lainnya dapat meniru teknologi Google, dan apakah pihak yang bermusuhan dapat menggunakan teknik yang sama lebih cepat daripada yang dapat diterapkan oleh pihak yang membela, masih menjadi pertanyaan yang menentukan di era keamanan AI.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
