Google: AI Membantu Chrome Memperbaiki 1.072 Celah Keamanan dalam Dua Versi Terbaru
Google mengungkapkan bahwa pemanfaatan kecerdasan buatan (AI) telah secara signifikan meningkatkan kemampuan perusahaan dalam menemukan dan memperbaiki kerentanan keamanan pada browser Google Chrome.
Dalam dua rilis terbaru, yaitu Chrome 149 dan Chrome 150, Google berhasil memperbaiki 1.072 bug keamanan, jumlah yang melampaui total kerentanan yang diperbaiki pada 23 versi Chrome sebelumnya.
Pencapaian tersebut menjadi bukti semakin besarnya peran Large Language Model (LLM) dalam proses pengembangan dan pengamanan browser Chrome.
AI Digunakan di Seluruh Tahapan Penanganan Kerentanan
Google menjelaskan bahwa AI kini tidak hanya digunakan untuk menemukan bug, tetapi juga membantu hampir seluruh proses manajemen kerentanan.
Beberapa tugas yang kini didukung oleh LLM meliputi:
- Menemukan kerentanan keamanan.
- Mereproduksi laporan bug.
- Menentukan tingkat keparahan (severity).
- Menugaskan bug kepada pengembang terkait.
- Menghasilkan kandidat patch.
- Membuat pengujian otomatis untuk memastikan perbaikan berjalan dengan baik.
Pendekatan ini mempercepat proses penanganan kerentanan sekaligus mengurangi beban kerja tim pengembang.
Pengembangan AI Dimulai Sejak 2023
Google mulai memanfaatkan LLM untuk meningkatkan kemampuan security fuzzing pada tahun 2023.
Selanjutnya, perusahaan bekerja sama dengan Project Zero mengembangkan sistem bernama Naptime, yang membekali model AI dengan berbagai alat penelitian kerentanan.
Pengembangan berlanjut melalui kolaborasi bersama Google DeepMind dan Project Zero untuk menciptakan Big Sleep, agen AI yang mampu menemukan kerentanan pada mesin JavaScript V8 serta komponen grafis Chrome.
Memasuki awal 2026, Google memperkenalkan agen berbasis Gemini yang dapat memindai basis kode Chrome secara lebih luas sekaligus mengurangi jumlah hasil positif palsu (false positive).
Menemukan Bug yang Tersembunyi Selama 13 Tahun
Salah satu temuan penting dari sistem AI tersebut adalah kerentanan pada mekanisme sandbox Chrome yang ternyata telah tersembunyi di dalam basis kode selama lebih dari 13 tahun.
Apabila berhasil dieksploitasi, celah tersebut memungkinkan proses renderer yang telah dikompromikan keluar dari sandbox dan mengelabui browser agar membaca file lokal milik pengguna.
Penemuan ini menunjukkan bahwa AI mampu mengidentifikasi kerentanan kompleks yang sebelumnya tidak terdeteksi melalui metode konvensional.
Dokumentasi Keamanan Kini Dibantu AI
Google juga mendorong para pengembang Chrome untuk menambahkan file SECURITY.md pada proyek yang mereka kerjakan.
Dokumen tersebut berisi informasi mengenai:
- Batas kepercayaan sistem (trust boundaries).
- Model ancaman (threat model).
- Komponen yang memiliki implikasi keamanan.
Informasi tersebut membantu sistem AI memahami konteks keamanan aplikasi sehingga proses pencarian kerentanan menjadi lebih akurat.
Tetap Melengkapi Metode Pengujian Tradisional
Meski AI semakin berperan besar, Google menegaskan bahwa teknologi ini tidak menggantikan metode pengujian keamanan yang telah digunakan selama ini.
Sebaliknya, AI berfungsi sebagai pelengkap berbagai teknik seperti fuzzing, yang masih dinilai efektif dalam menemukan kerentanan kompleks.
Pendekatan multi-agent AI juga memungkinkan beberapa sistem bekerja secara bersamaan untuk mempercepat analisis dan validasi hasil.
Laporan Bug Meningkat Drastis
Google juga mencatat peningkatan signifikan pada laporan yang masuk melalui Chrome Vulnerability Reward Program.
Hingga Maret 2026, jumlah laporan kerentanan yang diterima bahkan telah melampaui total laporan sepanjang tahun 2025.
Karena semakin banyak bug yang berhasil ditemukan secara otomatis oleh AI, Google kini memprioritaskan laporan eksternal yang memberikan nilai tambah dibandingkan hasil yang telah diperoleh sistem internal.
Proses Triase Kini Semakin Otomatis
Google juga mengotomatisasi berbagai tahapan triase kerentanan, termasuk:
- Menyaring laporan spam.
- Menghapus laporan duplikat.
- Mereproduksi proof-of-concept (PoC).
- Menentukan tingkat keparahan.
- Mengarahkan laporan kepada tim pengembang yang tepat.
Perusahaan memperkirakan otomatisasi ini mampu menghemat ratusan jam kerja pengembang setiap bulan.
Setelah kerentanan dikonfirmasi, agen AI akan menghasilkan beberapa kandidat patch, sementara agen lain mengevaluasi kualitas setiap usulan perbaikan sebelum ditinjau oleh pengembang.
Lebih dari 20 Kerentanan Dicegah Sebelum Rilis
Google mengungkapkan bahwa selama Mei 2026, sistem AI berhasil mencegah lebih dari 20 kerentanan masuk ke versi produksi Chrome.
Salah satunya bahkan dikategorikan sebagai kerentanan kritis, sehingga dapat dicegah sebelum mencapai pengguna.
Mempercepat Distribusi Patch
Selain mempercepat penemuan bug, Google juga berupaya mempercepat distribusi pembaruan keamanan.
Perusahaan mengakui bahwa setelah patch dipublikasikan ke repositori sumber terbuka Chrome, pelaku ancaman dapat mempelajari perubahan tersebut untuk mencari tahu detail kerentanan sebelum pengguna memasang pembaruan.
Untuk mengurangi risiko tersebut, Google mulai menerapkan:
- Siklus rilis utama setiap dua minggu.
- Pembaruan keamanan mingguan.
- Uji coba dua pembaruan keamanan setiap minggu.
Menuju Dynamic Patching
Google juga tengah mengembangkan teknologi dynamic patching, yang memungkinkan Chrome memasang pembaruan keamanan tanpa memerlukan restart browser.
Mulai Chrome 150 di macOS, browser sudah dapat melakukan restart otomatis ketika berjalan di latar belakang tanpa jendela yang sedang dibuka, sehingga pembaruan dapat diterapkan tanpa mengganggu aktivitas pengguna.
Ke depan, Google menargetkan Chrome selalu berada pada versi terbaru melalui kombinasi dynamic patching, restart otomatis saat browser tidak digunakan, serta mekanisme pemulihan sesi yang lebih baik.
