Model Rahasia Anthropic Rakit 5 Rantai Exploit; Chrome Dapat 62 CVE
Tim Frontier Red Team Anthropic mengungkap bahwa sebuah model Claude yang belum dirilis berhasil merakit lima rantai exploit yang berfungsi untuk Chrome, Safari, Android, Windows, dan Linux. Laporan yang terbit pada 27 Oktober 2026 itu menyebut temuan di Chrome saja menghasilkan 62 CVE berperingkat kritis atau tinggi. Temuan ini menegaskan bahwa kemampuan AI di bidang keamanan siber sudah melompat dari sekadar menemukan bug menjadi merangkai bug menjadi serangan utuh.
Apa yang Dilakukan Model Claude yang Belum Dirilis Ini?
Model riset internal Anthropic yang belum diberi nama publik merakit lima rantai exploit lengkap, satu untuk tiap platform: Chrome, Safari, Android, Windows, dan Linux. Semua pengujian berlangsung di lingkungan uji Frontier Red Team, dan seluruh celah sudah dilaporkan ke vendor lalu ditambal sebelum laporan diumumkan pada 27 Oktober 2026.
Rantai paling mencolok menyasar Chrome. Model ini menggabungkan empat bug, yaitu kerusakan heap di mesin JavaScript V8, lolosnya sandbox V8 yang sekaligus mematahkan ASLR, race condition di CacheStorage, dan use-after-free di FedCM. Menurut Anthropic, bukti konsepnya membuka aplikasi Calculator di Chrome bawaan macOS hanya beberapa detik setelah halaman dimuat.
Laporan ke Google dari pekerjaan ini menghasilkan 62 CVE yang seluruhnya berperingkat kritis atau tinggi dan sudah ditambal per Chrome 156. Dari jumlah itu, 13 merupakan celah lolos sandbox dan 21 merupakan bug yang memungkinkan pengambilalihan proses renderer. Angka ini menunjukkan model tidak hanya menemukan satu jalan masuk, tetapi banyak jalur alternatif.
"Any vulnerabilities in these products could affect billions of users," tulis Nicholas Carlini, David Dworken, Xinyang Ge, Ben Morris, Milad Nasr, Chris Rohlf, dan Luna Tong, para peneliti Frontier Red Team Anthropic yang menyusun laporan tersebut. Mereka juga menyatakan bahwa membekali pihak bertahan dengan model yang kuat penting agar tambalan datang lebih dulu sebelum penyerang bergerak.
Rincian Celah di Safari, Android, Windows, dan Linux
Empat rantai lainnya menyasar Safari, Pixel 9, kernel Windows, dan kernel Linux. Celah Linux dinilai paling serius karena bersifat zero-click, artinya penyerang jarak jauh tanpa kredensial bisa menjalankan perintah sebagai root pada server yang membuka listener multipath TCP, tanpa interaksi apa pun dari korban.
Celah Linux itu tercatat sebagai CVE-2026-98432, sebuah use-after-free akibat race condition di kode jaringan multipath TCP. Dalam pengujian, model butuh sekitar 48 menit untuk membocorkan pointer kernel dan sekitar lima menit lagi untuk mencapai eksekusi perintah. Kegagalan memenangkan race hanya membuat handshake gagal, sehingga penyerang bisa terus mencoba.
Di Windows, model membedah file executable yang diberikan peneliti lalu menemukan pembacaan di luar batas memori pada implementasi QUIC dan HTTP/3 di kernel. Celah CVE-2026-33096 ini bisa membuat mesin crash dari jarak jauh. Anthropic memperkirakan ada beberapa juta server semacam itu yang terbuka di internet, sementara Microsoft sudah menambalnya pada 14 April 2026.
Untuk Safari, rantai yang dibangun dari use-after-free di JavaScriptCore berhasil menembus same-origin policy, sehingga situs jahat bisa membaca riwayat, cookie, dan data sesi dari situs lain. Apple mengakui laporan itu pada hari yang sama. Di Android, tiga celah dirangkai untuk menarik foto dari Pixel 9 yang terkunci lewat kabel USB.
Kenapa Laporan Ini Penting bagi Pihak Bertahan?
Laporan ini penting karena merangkai bug menjadi exploit yang bekerja selama ini membutuhkan tim spesialis langka, dan kini sebuah model AI bisa melakukannya setelah prompt awal. Artinya, jarak antara celah ditemukan dan celah dieksploitasi bisa menyusut drastis, sehingga kecepatan menambal menjadi faktor penentu keamanan.
Anthropic menerapkan aturan pengungkapan terkoordinasi, yaitu vendor mendapat 90 hari untuk menambal ditambah 45 hari sebelum detail di luar advisori publik dibahas. Di luar lima rantai utama, Cyber Kendra mencatat model yang sama juga menemukan celah eskalasi hak akses lokal di OpenBSD, FreeBSD, dan Linux yang kini sudah ditambal di upstream.
Bersamaan dengan laporan itu, Anthropic memperluas Cyber Verification Program yang memberi profesional keamanan terverifikasi akses ke kemampuan siber dengan pemblokiran classifier yang lebih longgar. Model yang tercakup termasuk Claude Opus 5.5, Claude Sonnet 5.5, dan Claude Mythos 5.1. Anthropic juga merilis plugin security guidance untuk Claude Code yang memindai kode saat pull request.
Beberapa media keamanan mengingatkan bahwa sebagian klaim belum bisa diverifikasi pihak independen, misalnya perbaikan celah Pixel 9 yang belum punya CVE atau advisori publik. Red Hat juga menilai dampak CVE-2026-98432 di RHEL 10 terutama berupa crash, berbeda dengan bukti konsep root shell yang ditunjukkan Anthropic.
Dampaknya bagi Perusahaan dan Tim IT di Indonesia
Bagi perusahaan Indonesia, pesan utamanya adalah memperpendek siklus patch. Browser kantor perlu dipastikan sudah di Chrome 156 atau lebih baru, server Windows sudah memasang pembaruan April 2026, dan server Linux yang memakai multipath TCP perlu diperbarui ke kernel stabil yang sudah memuat perbaikan CVE-2026-98432.
Celah yang tidak ditambal juga membawa risiko hukum. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang ditetapkan pada 17 Oktober 2022, mewajibkan pengendali data menjaga keamanan data pribadi yang diprosesnya. Kebocoran cookie dan data sesi seperti di skenario Safari bisa berujung pada kewajiban hukum, bukan sekadar insiden teknis.
"Our advice to defenders remains the same: scanning your own code is more important than ever," tulis tim Frontier Red Team dalam laporan yang sama. Bagi tim pengembang dan pemerintah di Indonesia, pemindaian kode berbantuan AI sebelum rilis dan inventaris aset yang rapi kini menjadi kebutuhan dasar, karena penyerang berpotensi memakai kemampuan serupa.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Anthropic
🛡️ Claude Temukan 493 Isu Keamanan di 25 Proyek Open Source, Termasuk OpenSSH
⚔️ Claude Mythos 5 Serang Developer Asli di 9 dari 43 Uji Siber AISI
🤖 Agen AI Cipher Temukan 4 Celah EPICS dalam 3 Jam 49 Menit
💡 Manajemen Patch di Era AI Penemu Celah: Pelajaran bagi Perusahaan Indonesia
Sumber dan Referensi
[1] Discovering vulnerabilities with Claude - Anthropic
[2] Claude Found 62 Chrome CVEs and a Zero-Click Linux RCE - Cyber Kendra
[4] CVE-2026-33096 Security Update Guide - Microsoft Security Response Center
[5] Undang-undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK