XBOW Bikin 3 Chrome Zero-Day Dalam 6 Hari Pakai GPT-5.6 Sol, Dapat $250K – Dulu Butuh 4 Orang 9 Bulan

BICARA SECURITY - Kalau lo masih mikir jadi bug hunter itu harus jago assembly 10 tahun, berita ini bakal bikin lo mikir ulang. Startup keamanan XBOW baru aja buktiin kalau modal utama sekarang bukan lagi otak langka, tapi akses API.

XBOW mengungkapkan pada 13 Oktober 2026 jika mereka berhasil membuat eksploitasi rantai penuh Chrome dalam 6 hari dengan biaya komputasi sekitar $40.000 pakai model publik GPT-5.6 Sol. Google sudah memperbaiki semua dan membayar bounty maksimal $250.000.

Apa yang Terjadi? Dari Buka Webpage Langsung Keluar Sandbox

Eksploit ini menakutkan karena cara memicunya sangat sederhana. Rangkaian eksploit tersebut tidak memerlukan tindakan apa pun dari korban selain membuka halaman web: celah-celah keamanan yang digabungkan ini memungkinkan eksekusi kode di luar sandbox Chrome pada sistem operasi Windows.

XBOW mengungkapkan temuan ini pada 13 Oktober 2026. Rangkaian eksploit tersebut menghubungkan tiga celah keamanan untuk beralih dari JavaScript di dalam tab Chrome menuju eksekusi kode di luar sandbox renderer peramban tersebut.

Dalam demo yang mereka lampirkan, sebuah halaman web yang dirancang khusus dibuka melalui Chrome Beta di Windows, lalu aplikasi Kalkulator muncul secara otomatis. Hal ini membuktikan bahwa eksekusi kode di luar sandbox telah berhasil dilakukan.

Ini bukan celah keamanan sepele. Google menyatakan bahwa ini merupakan full-chain reward (imbalan untuk rangkaian eksploit lengkap) pertama di bawah aturan tahun 2026, sekaligus yang pertama kali diberikan kepada perusahaan keamanan otonom. Google hanya memberikan maksimal empat penghargaan seperti ini dalam setahun.

Seberapa luas dampaknya? XBOW memperkirakan bahwa hal ini dapat memengaruhi sekitar satu miliar pengguna di seluruh dunia. Bahkan, pihak Google sendiri mengonfirmasi bahwa celah keamanan tersebut berpotensi berdampak pada kurang lebih 1 miliar pengguna Chrome di Windows.

Full-Chain Kayak Gimana? 3 Bug Dirantai Kayak Lego

Chrome itu punya 2 lapis sandbox: V8 sandbox di dalam, OS process sandbox di luar. XBOW nyebrangin dua-duanya.

Berdasarkan laporan teknis Brendan Dolan-Gavitt:

Tahap 1 - Bug Maglev V8 (CVE-2026-85045): Bug di Maglev, kompiler pengoptimalan tingkat menengah V8, yang menggunakan kembali nomor kotak yang dapat diubah selama deoptimasi. Ini berkat akses baca/tulis di seluruh sangkar kompresi penunjuk V8. Di-fix pada versi 152.0.7977.82 pada 3 September.

Versi lain jelasin lebih detail: Bug deoptimisasi Maglev untuk baca/tulis dalam sangkar. Intinya dia bisa baca tulis memori di dalam cage V8.

Tahap 2 - Decoder WebP Animasi: Ini yang pinter. Ia lolos dari sandbox V8 dengan menyalahgunakan properti yang sengaja tidak diterapkan oleh sandbox, dan Blink secara keliru berasumsi bahwa ia dapat dipercaya. Tidak ada CVE publik yang dibuat ini, Google memperbaikinya selama siklus Chrome 152. Ada yang baru ini TOCTOU di ImageDecoder.

Tahap 3 - Crashpad Overflow (CVE-2026-78952): Overflow di Crashpad, pengendali kerusakan Chrome, yang berjalan di luar kotak pasir. Ini mengubah satu penulisan yang tepat menjadi eksekusi kode tanpa kotak pasir. Yang ini diperbaiki di 152.0.7977.65 pada tanggal 25 Agustus. Kedua nomor bug tersebut memiliki tingkat keparahan yang tinggi.

Alurnya: Masuk lewat JavaScript di tab > dapet R/W di V8 > escape V8 sandbox lewat WebP > escape renderer sandbox lewat Crashpad > kode jalan di Windows.

Yang keren: Ketika Google mengungkapkan bahwa satu bug telah diketahui, desain eksploitasi modular XBOW memungkinkan agen AI dengan cepat menukar kerentanan cadangan, memastikan pengiriman yang valid. Jadi mereka bikin eksploitasi modular, kalau 1 bug ketahuan udah diketahui, tinggal ganti part cadangan. Kayak rakit PC.

Dulu 9 Bulan, Sekarang 6 Hari: Kenapa Ini Ngerubah Game?

Ini kutipan yang membuat semua peneliti senior terkejut:

"Pra-LLM rantai penuh Chrome akan membutuhkan waktu sekitar 6-9 bulan bagi tim beranggotakan empat orang, penyerahan pertama kami memakan waktu 2 bulan. Yang diberikan? enam hari," tulis Dolan-Gavitt.

Tantangan-nya di-set di rapat staf Malta bulan Januari. Full chain pertama butuh 2 bulan. Yang dapat bounty $250K ini dibangun antara Minggu, 2 Agustus dan Jumat, 7 Agustus, saat tim berada di Las Vegas untuk Black Hat dan DEF CON.

6 hari itu pas Black Hat / DEF CON week, di sela-sela konferensi. Gila gak?

Tapi jangan salah paham, AI gak kerja sendirian. The agents did a lot of the grinding. They searched Chrome's source code, tested hypotheses, built proofs of concept and wrote first drafts of exploit stages. People chose the targets, supplied context, pushed back on agent results and decided which pieces to join.

Jadi human masih nyetir, AI yang nge-grinding. Lo kasih target "cari bug di Maglev", AI yang baca ribuan baris source code Chrome, bikin hipotesis, tes, bikin PoC.

ROI Fantastis: Modal $40 Ribu, Untung $250 Ribu – Bug Bounty Berubah Menjadi Bisnis Token

Ini adalah bagian yang paling relevan bagi para freelancer di Indonesia.

Tim XBOW menyatakan bahwa pekerjaan tersebut memakan waktu enam hari dengan biaya komputasi sekitar $40.000, menggunakan model GPT-5.6 Sol dari OpenAI yang tersedia untuk publik. Google kemudian memberikan imbalan (bounty) sebesar $250.000 kepada XBOW.

Perhitungannya:

• Modal komputasi: $40.000 (Rp 722 juta dengan kurs 18.050)
• Imbalan (Bounty): $250.000 (Rp 4,5 miliar)
• Keuntungan bersih: $210.000 (Rp 3,7 miliar)
• Waktu: 6 hari
• ROI: 525%

Dulu, modal untuk menjadi peneliti kerentanan (exploit researcher) di Chrome adalah: 4 orang ahli × 9 bulan × gaji $200.000/tahun = modal $600.000. Sekarang, modalnya hanya: 1 orang + akses ke GPT-5.6 Sol + $40.000 untuk biaya token.

CEO Oege de Moor mengatakan: "Angka yang tertera pada cek tersebut memang mengesankan, namun waktu yang dibutuhkan tim kami—dengan bantuan model AI yang tersedia untuk publik—untuk menembus sistem tersebut jauh lebih mengesankan." Ia menambahkan, "Seorang veteran dari badan intelijen pernah bercerita kepada saya bahwa timnya dulu menghabiskan waktu enam bulan untuk mengidentifikasi kerentanan semacam ini dan mendapatkan akses penuh. Kami berhasil melakukannya hanya dalam enam hari."

Brendan bahkan berkomentar: "Enam hari dan $40.000 bukanlah waktu atau biaya yang besar jika imbalannya adalah keberhasilan menembus sistem Chrome!" Ia juga memperingatkan bahwa hambatan untuk masuk ke bidang ini kini menjadi "jauh lebih rendah."

Google pun bereaksi. Minggu ini, Google melipatgandakan imbalan dasar untuk kerentanan keamanan memori (memory safety bugs) di Chrome menjadi $2.000, setelah sempat memangkas nilai imbalan pada bulan April—meskipun angka ini masih jauh di bawah nilai sebelumnya.

Selain itu, Google baru saja menutup program OSS VRP (program imbalan kerentanan perangkat lunak sumber terbuka) untuk pengajuan kerentanan produk, menyusul membanjirnya laporan yang dihasilkan oleh AI. Kebanjiran laporan AI ampas, tapi yang jago kayak XBOW malah makin tajam.

1 Miliar Pengguna Kena Imbas, Lo Harus Ngapain?

Google udah patch di Agustus-September. Tapi Chrome memperbarui dirinya sendiri, tetapi perbaikan hanya terjadi setelah browser diluncurkan kembali. Siapa pun yang membiarkan Chrome terbuka selama berminggu-minggu harus memulai ulang.

Cek versi lo sekarang:

1. Buka chrome://settings/help
2. Pastikan versi 152.0.7977.82 atau lebih baru
3. Kalau belum, klik Luncurkan Ulang

XBOW mengatakan bug tersebut tidak pernah digunakan terhadap pengguna Chrome. Berbeda dengan kelemahan V8 yang ditambal Google setelah penyerang pertama kali mencapainya, rantai ini tetap berada dalam jalur bounty. Jadi ini pengungkapan yang bertanggung jawab, bukan dipake hacker dulu.

Era Baru: Otak Mahal Kalah Sama Token?

Dulu bug bounty itu soal siapa paling jago reverse engineering. Sekarang soalnya siapa paling pinter orchestrate AI agent.

Buat bug hunter Indonesia, ini peluang sekaligus ancaman. Peluang karena lo gak perlu jadi Dolan-Gavitt (dia profesor NYU) buat bikin full-chain. Ancaman karena saingan lo sekarang bukan cuma manusia, tapi agent yang bisa kerja 24 jam baca source code Chromium yang jutaan baris itu.

XBOW sendiri bilang model yang dipake, GPT-5.6 Sol, is publicly available — not a secret lab tool. Jadi siapapun yang punya kartu kredit dan bisa bayar $40K API bisa coba replikasi.

Pertanyaannya sekarang: kalau bikin exploit Chrome aja bisa 6 hari, berapa lama buat bikin exploit buat web app Indonesia?