Peneliti keamanan di Searchlight Cyber telah menunjukkan bahwa model pengkodean GPT-5.6 OpenAI dapat mengungkap kerentanan eksekusi kode jarak jauh yang serius di WordPress dengan biaya API sekitar $25, sebuah temuan yang mengkristalkan kekhawatiran yang semakin besar mengenai bagaimana alat AI terdepan dapat digunakan untuk menemukan kelemahan yang dapat dieksploitasi dengan harga yang jauh lebih kecil dari nilai pasar gelapnya.
Penelitian tersebut, yang dipublikasikan di situs Searchlight Cyber, menunjukkan bahwa seorang peneliti, yang dilengkapi dengan GPT-5.6 Sol Ultra dan basis kode WordPress yang sengaja dibuat rentan, mampu mengidentifikasi rantai yang mengarah dari akses pra-autentikasi hingga eksekusi kode jarak jauh. Hasilnya menjadi pusat perdebatan mengenai potensi keamanan ofensif dari model bahasa besar, sebuah tema yang ditelusuri di perkembangan AI terbaru.
Penemuan $25 di pasar $500.000
Judul utama penelitian ini adalah ilmu ekonominya yang gamblang. Broker eksploitasi, perantara yang membeli kerentanan dan menjualnya kembali kepada pemerintah dan pembeli swasta, akan membayar hingga $500.000 untuk kelemahan eksekusi kode jarak jauh WordPress yang andal, menurut Searchlight Cyber. WordPress mendukung sekitar 40 persen dari semua situs web, menjadikan bug inti RCE sangat berharga.
Dibandingkan dengan tolok ukur tersebut, peneliti menghabiskan biaya sekitar $25 untuk panggilan API GPT-5.6 untuk menemukan kelemahannya. Pekerjaan ini tidak memerlukan tim besar, infrastruktur fuzzing khusus, atau audit manual selama berminggu-minggu. Sebaliknya, ia mengandalkan pengarahan model pengkodean yang mampu untuk mempertimbangkan kode sumber WordPress dari prinsip pertama.
Para peneliti merilis alat pemeriksa gratis, wp2Shell.com, sehingga administrator dapat menentukan apakah instance WordPress mereka terpengaruh. Mereka mengatakan bahwa mereka menahan rincian publikasi secara lengkap untuk memberikan waktu bagi para pembela HAM untuk memberikan tanggapan.
Bagaimana model menemukan kekurangannya
Inti dari penemuan ini adalah sistem pengait WordPress, mekanisme yang memberikan platform ekosistem plugin yang sangat besar. Hooks, dengan nama seperti `wp_enqueue_scripts` atau `publish_post`, memungkinkan plugin untuk melampirkan perilaku khusus ke hampir setiap tahap siklus hidup WordPress. Mereka dibagi menjadi tindakan, yang mengeksekusi efek samping, dan filter, yang mengubah data saat melewatinya.
Fleksibilitas itu juga merupakan permukaan serangan yang luas. Tugas yang ditetapkan para peneliti adalah menemukan rantai yang memungkinkan eksekusi kode jarak jauh dari titik awal yang tidak diautentikasi, dengan keberhasilan yang didefinisikan sebagai kemampuan membaca file yang dilindungi dari sistem file server.
GPT-5.6 Sol Ultra, model pengkodean yang berfokus pada penalaran OpenAI, melakukan analisis dengan memeriksa bagaimana data mengalir melalui hook WordPress dan ke dalam operasi yang berpotensi berbahaya. Kekuatan model ini tidak terletak pada pencarian pola secara membabi buta, namun pada penalaran tentang interaksi antar komponen, suatu kemampuan yang telah meningkat secara signifikan dengan dirilisnya model yang berfokus pada penalaran baru-baru ini.
Para peneliti membingkai latihan ini di sekitar repositori yang berisi salinan WordPress yang rentan, sebuah pengaturan yang menyerupai tantangan capture-the-flag di mana kesuksesan berarti mengekstraksi file flag. Namun mereka menekankan bahwa kelas kerentanan yang mendasarinya adalah nyata dan memengaruhi penerapan produksi yang menjalankan MySQL, database di balik sebagian besar situs WordPress yang aktif.
Dilema penggunaan ganda
Temuan ini muncul ketika perusahaan AI menghadapi pengawasan ketat mengenai bagaimana model mereka dapat disalahgunakan. Model Frontier semakin banyak dievaluasi kemampuannya dalam membantu serangan siber, dan hasilnya semakin tidak menyenangkan seiring dengan meningkatnya kemampuan. Sebuah model yang dapat mengurangi biaya pencarian bug kritis dari ratusan ribu dolar menjadi harga beberapa kopi akan membentuk kembali lanskap ancaman dengan cara yang nyata.
Para pembela HAM berpendapat bahwa kemampuan yang sama mempercepat kerja pertahanan, membantu tim keamanan menemukan dan menambal kelemahan sebelum penyerang melakukannya. Searchlight Cyber sendiri menempati kedua sisi garis tersebut, menawarkan manajemen permukaan serangan dan alat pemantauan web gelap sambil menerbitkan penelitian yang menyinggung. Pemeriksa wp2Shell mewujudkan kasus defensif: mengubah penemuan menjadi sesuatu yang dapat segera ditindaklanjuti oleh administrator.
Namun asimetri ini sulit untuk diabaikan. Seorang peneliti tunggal yang memiliki kunci API kini memiliki akses terhadap kekuatan audit yang dulunya membutuhkan tim yang memiliki dana besar. Ketika biaya untuk menemukan kerentanan menurun, bebannya beralih ke kecepatan dan skala perbaikannya.
Apa artinya bagi WordPress dan seterusnya
Bagi ekosistem WordPress, penelitian ini mengingatkan bahwa arsitektur hook platform, fondasi ekonomi pluginnya, juga merupakan titik lemah yang paling penting. Operator situs didorong untuk menjalankan pemeriksa wp2Shell, terus memperbarui plugin dan inti, dan membatasi apa yang dapat dijangkau oleh pengguna yang tidak diautentikasi.
Secara lebih luas, eksperimen ini merupakan titik data dalam perdebatan yang bergerak cepat tentang batasan antara penelitian keamanan terbuka dan proliferasi kemampuan AI yang bersifat ofensif. Ketika model pengkodean semakin mampu, demonstrasi seperti ini kemungkinan besar akan menjadi lebih umum, bukan berkurang.
Tetap Terdepan dalam AI
Persimpangan antara AI dan keamanan siber bergerak lebih cepat daripada yang dapat dilacak oleh tim mana pun. Untuk melaporkan penelitian AI ofensif, alat defensif, dan perdebatan kebijakan setelahnya, ikuti liputan industri AI di AI Buzz Wire.
Baca berita AI selengkapnya →
