Pemanfaatan AI dalam Penguatan Keamanan Firefox
Dua pekan setelah pengumuman perbaikan sejumlah besar kutu keamanan laten pada peramban Firefox melalui bantuan model kecerdasan buatan Claude Mythos Preview serta model lainnya, tim pengembang membeberkan pendekatan teknis, temuan kerentanan, dan panduan praktis penguatan sistem perangkat lunak sumber terbuka dari ancaman siber.
Beberapa bulan lalu, laporan kutu keamanan berbasis kecerdasan buatan yang dikirimkan ke proyek sumber terbuka kerap dianggap sebagai gangguan berkategori rendah karena menghasilkan laporan yang tampak meyakinkan namun keliru secara teknis, sehingga membebani pemelihara proyek dengan biaya verifikasi asimetris yang mahal dan lambat dibandingkan kemudahan pembuatan instruksi bagi model bahasa besar. Dinamika tersebut berubah drastis akibat peningkatan kapabilitas model serta penyempurnaan teknik pengarahan, penskalaan, dan penumpukan model yang dilakukan tim internal Firefox guna mengekstrak sinyal valid sekaligus menyaring derau pengujian. Tim Mozilla biasanya menahan rincian laporan kerentanan selama beberapa bulan setelah meluncurkan perbaikan dan merilis buletin penasihat keamanan untuk melindungi pengguna yang terlambat memperbarui peramban mereka. Namun, tingginya minat komunitas teknologi serta urgensi pengamanan ekosistem perangkat lunak mendorong keputusan perhitungan untuk membuka sampel laporan perbaikan dari aneka subsistem peramban, guna membuktikan keandalan analisis kecerdasan buatan sekaligus mendorong para pembela sistem mengadopsi teknik serupa.
Spektrum Kerentanan Kompleks yang Ditemukan
Laporan yang diungkap mencakup spektrum kerentanan kompleks pada berbagai subsistem peramban, dimulai dari Bug 2024918 mengenai pemeriksaan kesetaraan yang salah sehingga pengompilasi JIT mengabaikan inisialisasi struktur GC WebAssembly aktif dan menciptakan primitif objek palsu berkemampuan baca tulis arbitrer pada kode yang sebelumnya lolos dari pengujian fuzzing intensif peneliti internal maupun eksternal. Bug 2024437 mengungkap celah berusia 15 tahun pada elemen legend yang terpicu oleh orkestrasi cermat kondisi batas di berbagai bagian peramban, mencakup batasan kedalaman tumpukan rekursi, properti expando, serta pengumpulan siklus atau cycle collection. Bug 2021894 memanfaatkan kondisi balapan melalui IPC yang memungkinkan proses konten terkompromi memanipulasi penghitung referensi IndexedDB pada proses induk guna memicu use-after-free serta potensi pelolosan sandbox. Bug 2022034 memperlihatkan nilai raw NaN yang melintasi batas IPC dapat menyamar sebagai penunjuk objek JavaScript terlabeli, mengubah proses deserialisasi ganda menjadi primitif objek palsu pada proses induk untuk meloloskan diri dari sandbox. Bug 2024653 merangkai kasus uji rumit melalui simpal peristiwa bersarang, pendengar pagehide, dan pengumpulan sampah untuk memicu use-after-free pada penyetel atribut elemen object.
Daftar temuan berlanjut pada Bug 2022733 yang memicu use-after-free pada proses induk dengan membanjiri WebTransport memakai ribuan hash sertifikat demi memperlebar kondisi balapan dalam simpal penyalinan padat referensi, lalu mengeksploitasinya melalui IPC dari proses konten terkompromi. Bug 2023958 menyimulasikan peladen DNS berbahaya dengan mencegat panggilan fungsi DNS glibc guna mereproduksi kasus batas cadangan UDP ke TCP, yang memicu pembacaan melampaui batas penyangga dan kebocoran memori tumpukan proses induk selama penguraian HTTPS RR serta ECH. Bug 2025977 melibatkan kerentanan 20 tahun pada XSLT berupa panggilan reentrant fungsi key() yang memicu pembentukan ulang tabel hash sehingga memori pendukungnya dibebaskan saat penunjuk entri mentah masih dipakai aktif. Bug 2027298 menambal pemilih warna untuk menyimulasikan seleksi pengguna yang tidak dapat diotomatisasi biasa, lalu memakai peristiwa masukan sinkron untuk memutar simpal peristiwa bersarang yang memasuki kembali pembongkaran aktor dan membebaskan fungsi panggil balik saat masih mengurai tumpukan, sehingga memicu use-after-free pada proses konten.
Sampel temuan lainnya meliputi Bug 2023817 ketika proses konten terkompromi dapat mengirim gambar kertas dinding sembarang untuk didekode di dalam proses induk, yang berpotensi dipadukan dengan kerentanan hipotetis pada dekoder gambar guna membobol sandbox berkat penalaran tingkat kepercayaan masukan proses induk yang sulit diotomatisasi. Bug 2029813 meloloskan diri dari teknologi sandboxing dalam proses untuk pustaka pihak ketiga bernama RLBox dengan memanfaatkan celah pada logika verifikasi penyalinan nilai dari sisi tidak tepercaya ke sisi tepercaya pada batas sandbox. Bug 2026305 memanfaatkan kasus uji amat ringkas yang mengeksploitasi semantik khusus rowspan sama dengan nol pada tabel HTML melalui penambahan lebih dari 65535 baris demi memintas pembatasan clamping dan meluapkan medan bit tata letak 16-bit, sebuah celah yang lolos selama bertahun-tahun dari pemantauan fuzzer konvensional.
Anatomi Pelolosan Sandbox dan Mitigasi
Sebagian besar laporan tersebut merepresentasikan kategori pelolosan sandbox yang berasumsi bahwa proses terisolasi perender konten situs telah berhasil dikompromikan oleh penyerang menggunakan kutu terpisah dan sedang menjalankan kode mesin kendali penyerang untuk menaikkan hak akses ke proses induk berprivilese tinggi. Dalam perancangan pelolosan sandbox, model diizinkan menambal kode sumber Firefox sepanjang kode modifikasi dibatasi hanya berjalan di dalam proses sandbox sesuai ketentuan program bug bounty mereka. Kerentanan jenis ini sangat sulit dideteksi oleh perkakas fuzzing tradisional, sehingga analisis kecerdasan buatan memberikan cakupan yang jauh lebih komprehensif pada permukaan kritis tersebut. Di samping keberhasilan deteksi, kegagalan model menembus pertahanan berlapis Firefox menunjukkan efektivitas perubahan arsitektural masa lalu, seperti pembekuan prototipe berprivilese secara baku guna mencegah serangan prototype pollution di proses induk yang sebelumnya sering dilaporkan peneliti keamanan eksternal.
Evolusi Pipa Audit dan Harness Keagenan
Pengembangan pipa penguatan keamanan ini berawal dari eksperimen audit kode statis beberapa tahun lalu menggunakan model seperti GPT-4 atau Sonnet 3.5 pada kode berisiko tinggi, yang terkendala tingginya tingkat positif palsu sehingga tidak praktis diskalakan sebelum kemunculan harness keagenan modern. Kunci utama harness keagenan terletak pada kemampuannya menyusun dan mengeksekusi kasus uji dinamis yang dapat direproduksi guna menguji hipotesis celah kode secara langsung, memisahkan fakta bug dari spekulasi tak berdasar. Setelah menyelesaikan perbaikan awal dari kiriman Anthropic pada Februari, tim Firefox membangun harness mandiri di atas infrastruktur fuzzing internal mereka dan mengawali percobaan skala kecil pemburuan pelolosan sandbox bersama Claude Opus 4.6 yang berhasil mendeteksi kerentanan baru pada kode mesin peramban multiproses. Pengawasan awal dilakukan langsung melalui terminal untuk memantau proses secara seketika serta menyempurnakan instruksi logika kerja, sebelum pekerjaan diparalelkan ke berbagai mesin virtual fana yang masing-masing memburu celah pada target berkas spesifik lalu mencatat temuannya ke ember penyimpanan data terpusat.
Keberadaan subsistem penemuan harus diintegrasikan dengan siklus hidup kerentanan keamanan secara menyeluruh, mencakup penentuan fokus sasaran, lokasi pencarian, deduplikasi terhadap laporan yang telah diketahui, pelacakan tiket masalah, proses triase, hingga pengiriman tambalan resmi ke pengguna. Arsitektur pipa terpadu ini bersifat spesifik bagi setiap proyek karena harus mencerminkan semantik basis kode, perkakas kerja, serta tata kelola tim yang melibatkan putaran umpan balik ketat bersama insinyur peramban penanggung jawab area kode terkait. Begitu fondasi pipa terpasang kokoh, pergantian ke model generasi baru seperti Claude Mythos Preview berjalan mulus dan langsung melipatgandakan efektivitas pendeteksian potensi bug, perancangan bukti konsep pembuktian masalah, serta penjelasan patologi dampak keamanan secara menyeluruh. Selain memperbaiki 271 kutu hasil temuan Claude Mythos Preview pada Firefox versi 150, tambalan lainnya telah dikirimkan melalui versi 149.0.2, 150.0.1, serta 150.0.2, di tengah lonjakan laporan eksternal dan keterlibatan lebih dari 100 kontributor kode untuk penulisan tambalan, peninjauan, pengujian regresi, dan manajemen rilis.
Tim peramban merekomendasikan pengembang perangkat lunak lain untuk segera memanfaatkan harness keagenan dan model modern mulai dari pembuatan instruksi sederhana, observasi langsung, hingga iterasi orkestrasi berskala besar dengan fokus inti meminta sistem menemukan bug pada area kode tertentu serta membangun kasus uji pendukungnya. Pemindaian internal saat ini masih difokuskan pada berkas atau fungsi spesifik berdasarkan kombinasi pertimbangan manusia dan sinyal otomatisasi, namun terdapat rencana dekat untuk mengintegrasikan analisis langsung ke dalam sistem continuous integration guna memindai setiap tambalan tambatan kode baru di pohon repositori. Fleksibilitas model dalam memproses konteks potongan kode diharapkan membuat pemindaian berbasis tambalan bekerja setara atau bahkan melampaui efektivitas pemindaian berbasis berkas penuh dalam menghadapi dinamika lanskap keamanan siber yang penuh tantangan sekaligus peluang kolaborasi bersama.
Klasifikasi dan Hitungan Kerentanan CVE
Terkait perbedaan hitungan angka 271 kerentanan, tim menjelaskan bahwa halaman web penasihat keamanan mengelompokkan laporan internal menjadi beberapa CVE rollup yang disusun dari berkas yaml pada repositori foundation-security-advisories sebagai lokasi kanonikal penetapan CVE Mozilla. Pada Firefox 150, terdapat tiga kelompok CVE rollup internal yaitu CVE-2026-6784 yang memuat 154 bug, CVE-2026-6785 dengan 55 bug, dan CVE-2026-6786 dengan 107 bug, menghasilkan total 316 temuan internal karena perburuan keamanan tim menggabungkan sistem fuzzing, inspeksi manual, dan pipa keagenan lintas model setiap hari. Secara keseluruhan terdapat 423 bug keamanan yang diperbaiki dalam berbagai rilis sepanjang April, terdiri atas 271 pengumuman Claude Mythos Preview, 41 laporan peneliti luar, serta 111 temuan internal yang terbagi merata antara temuan model Claude Mythos Preview pada rilis selain versi 150, temuan pipa keagenan bermodel lain, dan temuan teknik tradisional seperti fuzzing, di samping penetapan tiga pengenal terpisah yakni CVE-2026-6746, CVE-2026-6757, dan CVE-2026-6758 yang secara khusus diatribusikan kepada tim Anthropic Frontier Red.
Tingkat keparahan keamanan Mozilla terbagi dari sec-critical dan sec-high untuk kerentanan pemicu perilaku penelusuran normal seperti membuka halaman web biasa, dengan sec-critical dikhususkan bagi celah yang telah diungkap ke publik atau dieksploitasi di alam liar, sementara sec-moderate menuntut langkah korban yang rumit dan tidak lazim, serta sec-low yang terbatas pada kegagalan minor tanpa ancaman bahaya bagi pengguna seperti tabrakan aman. Dari 271 kutu Firefox 150 yang diumumkan, 180 berstatus sec-high, 80 sec-moderate, dan 11 sec-low, yang seluruhnya diprioritaskan demi memelihara ketepatan logika sistem dan pertahanan berlapis. Status sec-high tidak otomatis berarti eksploitasi praktis tunggal dapat mengompromikan peramban secara penuh, melainkan ditetapkan berdasarkan gejala tabrakan terprediksi seperti use-after-free atau pembacaan luar batas memori pada AddressSanitizer, dengan asumsi model ancaman bahwa peretas membutuhkan rangkaian multi-eksploitasi guna menembus isolasi sandbox peramban dan mitigasi sistem operasi seperti ASLR demi efisiensi mitigasi pencegahan risiko.