Startup keamanan XBOW telah menerbitkan rincian eksploitasi rantai penuh Chrome yang dikatakan memengaruhi sekitar satu miliar pengguna, mengungkapkan bahwa rantai tersebut dibangun hanya dalam enam hari dengan bantuan model Sol GPT-5.6 OpenAI yang tersedia untuk umum — dan menghasilkan hadiah $250.000 bagi perusahaan dari Google, hadiah pertama yang diberikan berdasarkan aturan penghargaan kerentanan perusahaan pada tahun 2026. Pengungkapan ini muncul di postingan blog perusahaan pada 13 Oktober dan diambil oleh The Hacker News keesokan harinya.
Rantai penuh adalah kelas bug browser yang paling berharga: serangkaian kerentanan yang, jika digabungkan, memungkinkan penyerang berpindah dari halaman web biasa hingga mengeksekusi kode pada mesin yang mendasarinya. Dalam kasus ini, XBOW mengatakan rantai tersebut menunjukkan betapa sederhananya mengunjungi situs web di Chrome dapat memungkinkan penyerang jarak jauh mengambil alih komputer Windows. Semua bug yang terlibat kini telah diperbaiki, dan perusahaan menerbitkan tulisannya setelah patch tersebut mendarat. Bagi pembaca yang mengetahui seberapa cepat kemampuan AI mengubah penelitian keamanan, liputan berita AI terkini mengikuti perkembangan ini saat hal tersebut terjadi.
Enam Hari, Bukan Enam Bulan
Angka yang paling mencolok dalam pengungkapan tersebut bukanlah bountynya, melainkan timeline-nya. XBOW mengatakan seorang veteran badan intelijen yang dimintai pendapatnya memperkirakan bahwa mantan timnya akan memerlukan waktu sekitar enam bulan untuk mengidentifikasi kerentanan semacam ini dan mencapai akses total terhadap suatu target. Tim perusahaan yang beranggotakan empat orang, bekerja bersama GPT-5.6 Sol dan pendahulunya, menghasilkan rantai penghargaan dalam enam hari.
Para peneliti – Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee, dan Willem Pinckaers – sengaja memilih model yang dapat diakses oleh siapa saja, daripada sistem keamanan khusus atau sistem dengan ketersediaan terbatas. XBOW mengatakan komputasi yang digunakan selama enam hari kerja pada rantai yang diberikan berharga sekitar $40.000, sebagian kecil dari hadiah $250.000 yang akhirnya dimenangkan oleh rantai tersebut dari Google.
Menurut postingan blog tersebut, pembagian kerja jelas. AI menelusuri kode sumber Chrome, menguji ide, membuat bukti konsep, dan menulis draf awal kode eksploitasi. Peneliti manusia menetapkan strategi, memilih tempat mencarinya, memeriksa keluaran agen, dan mengarahkan mereka berdasarkan hasil. XBOW mencatat bahwa satu keputusan manusia terbukti penting untuk rantai terakhir.
Percobaan Pertama yang Didiskualifikasi dan Pembangunan Kembali Las Vegas
Jalan menuju karunia itu tidak linier. XBOW menetapkan rantai penuh Chrome sebagai tantangan internal pada awal tahun, menargetkan konferensi keamanan Black Hat pada bulan Agustus sebagai tenggat waktunya. Rantai lengkap pertama tim didiskualifikasi setelah Google memberi tahu perusahaan bahwa mereka telah mengetahui salah satu bug di set tersebut.
Karena tim sengaja menyusun rantai menjadi tiga bagian independen, masing-masing dengan bug alternatif yang tersedia, maka tim dapat membangun kembali dengan cepat. Bekerja dari Las Vegas selama minggu Black Hat dan DEF CON — antara Minggu, 2 Agustus dan Jumat, 7 Agustus — para peneliti dan agen mereka menyusun rantai baru yang diambil dari upaya sebelumnya. Rantai kedua tersebut lolos dan memenangkan hadiah pertama senilai $250.000 berdasarkan aturan Google yang diperbarui pada tahun 2026.
Apa Artinya bagi AI dan Keamanan Serangan
Pengungkapan ini terjadi pada saat industri keamanan secara aktif memperdebatkan apakah sistem AI secara signifikan mengubah aspek ekonomi dari penemuan kerentanan. Argumen XBOW adalah bahwa mereka memang demikian, dan secara dramatis: perusahaan tersebut mengatakan bahwa mereka yakin bahwa dalam waktu satu tahun, masing-masing dari tiga bug dalam rantainya mungkin dapat ditemukan oleh agen otonom yang bekerja tanpa penanganan manusia.
Ada peringatan yang perlu dikemukakan. Tagihan komputasi sebesar $40.000 bukanlah hal yang sepele bagi sebagian besar penyerang, dan pekerjaan tersebut masih memerlukan peneliti manusia yang berpengalaman untuk mengarahkan proses, memvalidasi temuan, dan membuat keputusan yang mengubah keluaran agen mentah menjadi rantai yang memenuhi syarat. XBOW sendiri membingkai hasilnya sebagai kemitraan antara keahlian manusia dan kecepatan mesin, bukan demonstrasi eksploitasi yang sepenuhnya otonom.
Namun, pergeseran benchmark sulit untuk diabaikan. Kelas eksploitasi yang dianggarkan oleh tim elit pemerintah selama enam bulan direplikasi oleh startup beranggotakan empat orang dengan model AI komersial, anggaran komputasi awan yang lebih kecil dari cek hadiah, dan waktu kalender kurang dari seminggu. Chrome digunakan oleh lebih dari separuh pengguna internet di dunia, itulah sebabnya Google berinvestasi besar-besaran untuk menyempurnakannya — dan mengapa kecepatan penelitian yang didukung AI kini dapat menyelidiki pertahanan tersebut tidak hanya penting bagi komunitas keamanan.
Bagi pembela HAM, pos XBOW bermata dua. Alur kerja berbasis agen yang sama yang menemukan bug tersedia bagi tim biru dan vendor browser yang berlomba untuk memperbaikinya, dan program bounty Google — yang segera dibayarkan berdasarkan aturan barunya — adalah bagian dari mesin yang memperbaiki kelemahan tersebut sebelum diungkapkan kepada publik. Detail teknis lengkap dari ketiga bug tersebut tersedia di postingan pendamping oleh peneliti XBOW Brendan Dolan-Gavitt.
---
Tetap Terdepan dalam AIDapatkan berita, analisis, dan terobosan AI terkini — semuanya di satu tempat.
Baca berita AI selengkapnya →
