Sebuah kerentanan yang tersembunyi dalam kode Chrome sejak 2013 baru saja ditemukan oleh mesin. Sistem deteksi kerentanan berbasis AI Google, yang dibangun di atas model Gemini, mengidentifikasi kelemahan tingkat tinggi yang ditetapkan sebagai CVE-2026-3545. Bug ini berada di dalam komponen Navigation Chrome dan memenuhi kriteria sandbox escape, artinya penyerang dapat menggunakannya untuk keluar dari lapisan isolasi pelindung browser dan mencapai sistem operasi dasar. Skor CVSS-nya adalah 9,8 dari 10.
Tamu 13 tahun yang tidak diundang siapa pun
Kelemahan tersebut telah diperbaiki di Chrome versi 145, yang dirilis pada awal Mei 2026, tetapi kode yang dieksploitasi dilaporkan telah berada di sana sejak sekitar tahun 2013. Agen AI yang menemukannya menggunakan kombinasi database CVE historis dan riwayat komit Git untuk secara sistematis melacak bagaimana kode telah berkembang dari waktu ke waktu, menjalankan analisisnya pada mesin terbatas yang memproses kode yang tidak aktif secara terisolasi.
Google berhati-hati dalam menyajikan sistem AI sebagai pelengkap, bukan pengganti. Tim mencatat bahwa fuzzing, peneliti manusia, dan laporan eksternal tetap menjadi kontributor aktif terhadap postur keamanan Chrome pada 2026, dengan submisi eksternal justru meningkat cukup signifikan hingga memicu penyesuaian pada Program Hadiah Kerentanan Chrome.
Angka-angka perbaikan hampir sulit dipercaya
Versi Chrome 149 dan 150 bersama-sama memperbaiki 1.072 kerentanan keamanan. Pasangan rilis tunggal ini melebihi total kumulatif dari 23 tahap stabil Chrome sebelumnya. Pada akhir Juli 2026, total perbaikan keamanan untuk tahun tersebut telah melewati angka 1.800, dengan Chrome 151 saja menyumbang 370 patch tambahan ke angka tersebut.
Google juga telah beralih ke program percontohan untuk rilis keamanan dua kali seminggu, memperpendek jendela antara kerentanan diperbaiki secara internal dan perbaikan tersebut mencapai pengguna. Google sedang berupaya menuju triase otomatis dan generasi perbaikan, yang berarti alur dari penemuan hingga patch pada akhirnya bisa berkurang dari hari menjadi jam.
Apa artinya ini bagi lanskap keamanan
Penemuan CVE-2026-3545 juga memiliki implikasi di luar Chrome. Teknik yang digunakan agen AI Google, yaitu membandingkan kode saat ini dengan pola CVE historis dan riwayat Git, berlaku untuk hampir semua basis kode open-source berskala besar. Kernel Linux, runtime JavaScript utama, perpustakaan kriptografi, dan mesin browser selain Chrome semuanya membawa tahun-tahun akumulasi kode yang belum pernah mengalami analisis AI retrospektif semacam ini.
Untuk infrastruktur kripto secara khusus, hal ini penting. Dompet, node, dan aplikasi terdesentralisasi berjalan di dalam browser atau bergantung pada model keamanan browser untuk lapisan antarmuka mereka. Kerentanan sandbox escape di Chrome adalah potensi permukaan serangan untuk apa pun yang beroperasi melalui ekstensi browser atau antarmuka web. Bug dengan CVSS 9.8 yang tidak terdeteksi selama 13 tahun di lapisan tersebut adalah jenis masalah yang seharusnya mendorong tinjauan terhadap bagaimana pengembang kripto mempertimbangkan asumsi keamanan tingkat browser.