Perusahaan keamanan siber XBOW mengantongi hadiah US$250.000 dari Google setelah tim risetnya menggunakan model publik GPT-5.6 Sol milik OpenAI untuk membangun rantai eksploit penuh (full-chain exploit) terhadap Chrome hanya dalam waktu enam hari.
Poin Penting:
- Tim XBOW menjalankan agen AI berbasis GPT-5.6 Sol untuk merangkai tiga bug Chrome menjadi satu rantai eksploit yang mampu mengambil alih Windows.
- Google membayar bounty maksimum US$250.000 untuk full-chain exploit ini, dan ketiga celah tersebut sudah ditambal.
- Sprint enam hari tersebut menelan biaya komputasi sekitar US$40.000; XBOW memperingatkan biaya serangan berbasis AI terus turun dengan cepat.
Eksploit Chrome Versi XBOW
XBOW mengungkapkan hasil kerjanya pada 13 Oktober. Mereka menjelaskan, satu laman web yang dirancang khusus sudah cukup untuk menembus dua lapis sandbox Chrome dan mengambil alih komputer Windows tanpa perlu klik maupun unduhan dari korban.
Rantai eksploit itu menggabungkan tiga kerentanan: satu di mesin JavaScript V8 milik Chrome, satu di decoder gambar animasi WebP, dan satu lagi di Crashpad, komponen penanganan crash yang berjalan di luar sandbox peramban.
Tim peneliti merampungkan rantai pemenang tersebut antara 2–7 Agustus, bertepatan dengan konferensi keamanan Black Hat dan DEF CON di Las Vegas. Menurut perhitungan XBOW, dorongan enam hari itu menghabiskan sekitar US$40.000 untuk komputasi AI. Upaya sebelumnya gagal karena salah satu bug yang ditargetkan sudah lebih dulu diketahui Google.
Sekitar sebulan setelah pengajuan, Google membayarkan bounty full-chain tertingginya, menjadi penghargaan pertama di bawah aturan baru program bug bounty yang direvisi pada April. XBOW memperkirakan, celah tersebut berpotensi memengaruhi sekitar 1 miliar pengguna Chrome di Windows, meski menegaskan tidak ada indikasi eksploitasi di dunia nyata dan bahwa Google telah menambal semuanya.
Artikel Terkait: Prancis Bisa Kenakan Pajak 31,4% Pada Swap Stablecoin, Chainalysis Peringatkan Arus Keluar ke Luar Negeri
Peringatan Dolan-Gavitt Untuk Tim Pertahanan
Brendan Dolan-Gavitt, peneliti XBOW yang menyusun rantai final dengan bantuan agen AI, mengatakan bahwa sebelumnya tim beranggotakan empat orang bisa membutuhkan enam hingga sembilan bulan untuk menghasilkan satu Chrome full-chain exploit. Catatan rilis Google mengkreditkan namanya untuk dua dari tiga bug tersebut. Sprint enam hari itu sendiri bertumpu pada kerja berbulan-bulan, termasuk satu full-chain terdahulu yang memakan waktu dua bulan.
“Enam hari dan US$40.000 bukanlah banyak waktu maupun uang jika imbalannya adalah satu rantai eksploit Chrome!” tulis Dolan-Gavitt. Pesannya kepada tim pertahanan keamanan siber singkat dan keras: “Sesuaikan pertahanan Anda.”
Pendiri XBOW, Oege de Moor, yang menyiapkan tantangan ini dalam rapat internal Januari di Malta, mengatakan agen AI digunakan untuk menelusuri kode sumber, menguji hipotesis, dan menyusun eksploit, sementara peneliti manusia memilih target dan melakukan verifikasi.
Ia memperkirakan, dalam waktu sekitar satu tahun, agen-agen tersebut akan mampu menemukan masing-masing dari tiga bug itu secara mandiri. De Moor menepis seruan untuk membatasi model-model berdaya tinggi, dengan alasan model yang digunakan XBOW saat ini sudah tersedia untuk publik. “Ini bukan alasan untuk panik, tetapi jelas alasan untuk bertindak cepat,” tulisnya.
Penghargaan untuk XBOW datang setelah eksperimen Juli, ketika peneliti Hacktron mengamati GPT-5.6 Sol dalam konfigurasi Ultra membangun rantai eksploit Chrome yang fungsional hanya dari patch keamanan V8 yang sudah dipublikasikan. Sebagai bukti konsep, eksploit tersebut hanya meluncurkan aplikasi kalkulator. Eksperimen itu menelan biaya sekitar US$1.597 dan menargetkan bug yang sudah lebih dulu ditambal Google.
Baca Juga: MNX Buka Akses Taruhan Pra-IPO Atas Valuasi OpenAI dan Anthropic Tanpa Perlu Beli Saham
