Perusahaan keamanan XBOW mengantongi hadiah $250.000 dari Google setelah timnya menggunakan model publik GPT-5.6 Sol dari OpenAI untuk membangun rantai exploit Chrome penuh hanya dalam waktu enam hari.
Poin Penting:
- Peneliti XBOW menggunakan agen AI berbasis GPT-5.6 Sol untuk menggabungkan tiga celah Chrome menjadi pengambilalihan penuh Windows.
- Google membayar bounty penuh berantai senilai tertinggi, $250.000, dan ketiga celah kini sudah ditambal.
- Sprint enam hari itu menelan biaya komputasi sekitar $40.000, dan XBOW memperingatkan biaya serangan kini turun drastis.
Rantai Exploit Chrome ala XBOW
XBOW mengungkap temuan ini pada 13 Oktober. Mereka menjelaskan bahwa satu laman web yang dirancang khusus sudah cukup untuk menembus dua lapis sandbox Chrome dan mengambil alih komputer Windows tanpa perlu klik atau unduhan apa pun dari korban.
Rantai serangan tersebut menggabungkan tiga bug: satu di mesin JavaScript V8 milik Chrome, satu di decoder gambar animasi WebP, dan satu lagi di Crashpad, komponen penanganan crash yang berjalan di luar sandbox peramban.
Para peneliti merangkai exploit pemenang ini antara 2–7 Agustus, bertepatan dengan konferensi keamanan Black Hat dan DEF CON di Las Vegas. Menurut hitungan XBOW, sprint enam hari itu menghabiskan sekitar $40.000 untuk komputasi AI. Versi awal rantai serangan gagal karena salah satu bug yang dipakai ternyata sudah lebih dulu diketahui Google.
Google membayar bounty penuh berantai tertinggi itu sekitar sebulan setelah pengajuan, menjadi penghargaan pertama di bawah aturan baru program yang direvisi pada April. XBOW memperkirakan kombinasi celah tersebut mengekspos sekitar 1 miliar pengguna Chrome di Windows, meski menegaskan tidak ada bukti pemanfaatan di dunia nyata dan bahwa Google telah menambal semuanya.
Peringatan Dolan-Gavitt Untuk Pihak Defensif
Brendan Dolan-Gavitt, peneliti XBOW yang menyusun rantai final dengan agen AI, menjelaskan bahwa sebelumnya, tim beranggotakan empat orang bisa membutuhkan enam hingga sembilan bulan untuk menghasilkan satu rantai exploit Chrome penuh. Catatan rilis Google menyebut namanya untuk dua dari tiga bug yang dipakai. Sprint enam hari itu sendiri bertumpu pada pekerjaan berbulan‑bulan sebelumnya, termasuk satu rantai penuh pertama yang memakan waktu dua bulan.
“Enam hari dan $40 ribu bukanlah banyak waktu atau uang jika taruhannya adalah satu rantai exploit Chrome!” tulis Dolan-Gavitt. Nasihatnya kepada para pembela sistem sangat lugas: “Sesuaikan pertahanan Anda.”
Pendiri perusahaan, Oege de Moor, yang menetapkan tantangan ini pada rapat staf di Malta pada Januari, mengatakan agen AI melakukan penelusuran kode sumber, menguji hipotesis, dan menyusun rancangan exploit, sementara manusia memilih target dan mengaudit hasil kerja AI.
Ia memperkirakan dalam setahun ke depan, agen AI akan mampu menemukan masing‑masing dari tiga bug itu secara mandiri, dan menepis seruan untuk membatasi model kuat karena varian yang dipakai XBOW sudah tersedia publik. “Ini bukan alasan untuk panik, tapi jelas alasan untuk bergerak cepat,” tulisnya.
Penghargaan ini menyusul eksperimen pada Juli, ketika peneliti Hacktron menyaksikan GPT-5.6 Sol dalam konfigurasi Ultra membangun rantai exploit Chrome yang fungsional dari patch keamanan V8 yang bersifat publik, dan menjalankan aplikasi kalkulator sebagai bukti konsep. Percobaan itu menelan biaya sekitar $1.597, namun menargetkan bug yang sudah lebih dulu diperbaiki Google.
Baca Selanjutnya: MNX Buka Akses Taruhan Pra-IPO Atas Valuasi OpenAI dan Anthropic Tanpa Beli Saham
