JAMBI — Google akhirnya mengakui bahwa waktu tunggu restart setelah update menjadi titik lemah keamanan browser Chrome. Dalam laporan terbaru, tim Chrome menyebut jeda antara rilis patch dan restart pengguna—dikenal sebagai "patch gap"—sering dimanfaatkan peretas untuk menyerang perangkat yang belum diperbarui.
Proses triage, perbaikan, pengujian, hingga rilis patch biasanya memakan waktu 1-2 hari. Namun, "waktu yang dihabiskan menunggu pengguna me-restart Chrome bisa menjadi kontributor signifikan terhadap risiko eksploitasi N-day," tulis Google dalam pernyataan resminya.
Untuk mengatasi masalah ini, Google berinvestasi pada pendekatan bernama "dynamic matching". Teknologi ini memanfaatkan arsitektur multi-proses Chrome untuk mengganti proses anak yang berjalan di latar belakang—seperti Renderer dan GPU—dengan biner yang sudah diperbarui secara langsung.
"Kami ingin menghilangkan kebutuhan restart penuh di sebagian besar kasus," jelas tim Chrome. Fitur ini masih dalam tahap riset dan pengembangan, belum ada jadwal pasti kapan akan dirilis ke publik.
Sembari menunggu dynamic matching selesai, Google sudah menyiapkan solusi sementara. Di Chrome 150 untuk macOS, browser akan otomatis restart saat ada update menunggu dan tidak ada jendela pengguna yang terbuka. Langkah ini memanfaatkan kebiasaan aplikasi di macOS yang tetap berjalan di latar belakang meski semua jendela sudah ditutup.
Google juga tengah "mengeksplorasi cara memastikan pemulihan sesi yang mulus bahkan dalam kasus kompleks, dengan menyimpan lebih banyak status secara lokal." Ini akan menjadi semakin penting saat Chrome beralih ke siklus update dua mingguan mulai tahun ini.
Di sisi lain, Google membeberkan peran kecerdasan buatan dalam menjaga keamanan Chrome. Proses penggunaan large language model (LLM) untuk menemukan bug sudah dimulai sejak 2023. Awal tahun ini, Google menciptakan agent harness yang menggunakan Gemini dan model lain untuk "menemukan kerentanan di seluruh basis kode Chrome dengan efisiensi lebih tinggi dan false positive lebih rendah."
Salah satu temuan penting adalah bug yang sudah ada di basis kode selama 13 tahun. Dalam dua rilis terakhir—Chrome 149 dan 150—Google berhasil memperbaiki 1.072 bug keamanan. Jumlah ini melampaui total bug keamanan yang diperbaiki di 23 rilis sebelumnya jika digabungkan.
Google memastikan keamanan proses analisis kode dengan AI. Sistem bekerja pada mesin terkunci tanpa akses internet umum. Semua permintaan jaringan dicegat dengan daftar izin ketat berdasarkan aplikasi pengirim dan tujuan. Model tidak pernah dijalankan dalam mode tanpa batasan, dan subagen dilarang memodifikasi sistem lokal atau mengakses file di luar direktori kode sumber yang ditentukan.
Untuk memperbaiki kerentanan, Google kini menggunakan alur kerja multi-agent. LLM menghasilkan kandidat perbaikan, lalu agen kritikus mengevaluasi mana yang paling cocok. Proses ini meniru alur review kode biasa. Ada juga agen penulis tes yang memastikan perbaikan berfungsi di semua platform dan konfigurasi Chrome sebelum ditinjau developer. Hasilnya, pada Mei lalu saja, sistem ini berhasil memblokir lebih dari 20 kerentanan agar tidak masuk ke versi produksi, termasuk satu isu kritis level S1+.
Google bekerja sama erat dengan Google DeepMind dan Project Zero dalam pengembangan alat seperti BigSleep dan CodeMender. Alat-alat ini sudah terintegrasi ke sistem continuous integration (CI) Chrome dan berjalan setiap 24 jam di semua perubahan kode untuk mendeteksi bug keamanan secara proaktif.