Kalau Anda menunda update browser, ini alasan untuk segera melakukannya. Anthropic melaporkan model AI internalnya mampu menemukan celah keamanan di perangkat lunak paling banyak dipakai di dunia, lalu merangkainya menjadi serangan yang berfungsi.

Lima rantai serangan

Dalam unggahan riset, tim Anthropic menyebut mereka memakai model riset internal yang belum dirilis. Setelah diberi arahan awal, model menulis eksploit berlapis berikut:

  1. Chrome (macOS): satu klik membuka halaman web cukup untuk menjalankan kode di luar sandbox browser. Rantainya memadukan celah di mesin JavaScript V8, race condition di CacheStorage, dan celah use-after-free di fitur login FedCM. Google telah memberikan 62 CVE yang ditambal hingga Chrome 156, semuanya berstatus kritis atau tinggi.
  2. Safari: situs web bisa melewati same-origin policy dan membaca riwayat, cookie, serta data sensitif lain, bahkan mengirim permintaan atas nama pengguna yang sedang login ke email atau bank. Apple mengakui laporan di hari yang sama dan sudah merilis perbaikan.
  3. Android (Pixel 9): foto dan data pribadi bisa diambil dari ponsel curian yang terkunci lewat USB, dengan melewati beberapa lapis proteksi termasuk verifikasi kode enam digit.
  4. Windows: celah di implementasi QUIC pada kernel Windows memungkinkan penyerang membuat server yang melayani HTTP/3 crash dari jarak jauh. Microsoft sudah memperbaikinya (CVE-2026-33096). Anthropic memperkirakan ada beberapa juta server seperti itu.
  5. Linux: eksekusi perintah sebagai root dari jarak jauh, tanpa kredensial dan tanpa interaksi pengguna, pada server dengan listener multipath TCP. Dalam uji coba, butuh sekitar 53 menit. Celah ini (CVE-2026-98432) sudah ditambal di semua cabang kernel stabil yang masih dirawat.

Semua celah dilaporkan lewat skema pengungkapan terkoordinasi: vendor diberi 90 hari untuk menambal ditambah 45 hari sebelum detail dibahas.

Kenapa ini penting

Menurut Anthropic, kemampuan menemukan dan merangkai beberapa celah menjadi eksploit dulu hanya dimiliki segelintir tim spesialis. Kini model bisa melakukannya dengan sedikit campur tangan manusia. Itu kabar baik bagi pihak bertahan, tetapi juga peringatan: penyerang bisa memakai kemampuan serupa.

Anthropic juga memperluas Cyber Verification Program untuk profesional keamanan yang memenuhi syarat dan merilis plugin Claude Code untuk memindai kode saat pull request.

Apa artinya bagi Anda

  • Pengguna: perbarui Chrome, Safari/iOS/macOS, Android, dan Windows sekarang. Jangan tunda update keamanan.
  • Admin server dan tim IT: pastikan kernel Linux dan Windows Server sudah ditambal, terutama jika memakai multipath TCP atau HTTP/3.
  • Developer: pindai kode Anda sendiri secara rutin. Saran Anthropic: memindai kode sendiri kini lebih penting dari sebelumnya.

Baca juga: studi Anthropic soal analis yang mengikuti saran agen AI dan agen AI OpenAI yang bobol portal data.

Sumber