Eksperimen AI Berujung Penemuan Kritis di WordPress

Sebuah eksperimen yang bermula dari rasa penasaran seorang peneliti keamanan siber, Adam Kues dari Searchlight Cyber, kini menjadi sorotan dunia. Dengan modal langganan ChatGPT sekitar Rp400 ribu, Kues berhasil menemukan celah keamanan yang sangat serius di inti platform WordPress. Temuan ini tidak hanya mengejutkan, tetapi juga membuka mata tentang potensi kecerdasan buatan (AI) dalam riset keamanan siber.

WordPress: Fondasi Jutaan Website

Sebelum membahas lebih jauh tentang celah yang ditemukan, mari kita pahami dulu seberapa penting WordPress. WordPress adalah sistem manajemen konten (CMS) paling populer di dunia, menggerakkan lebih dari 500 juta website. Mulai dari blog pribadi, situs berita, hingga toko online besar, banyak yang bergantung pada platform ini. Karena popularitasnya, keamanan WordPress menjadi krusial. Satu celah kritis bisa berdampak pada jutaan situs di seluruh dunia.

Penemuan Langka: Pre-Auth Remote Code Execution (RCE)

Yang membuat temuan ini luar biasa adalah jenis celahnya. Kues menemukan celah di WordPress core, instalasi dasar tanpa plugin tambahan, yang memungkinkan penyerang mengambil alih situs secara penuh tanpa perlu melakukan login sama sekali. Dalam istilah teknis, ini disebut pre-authentication Remote Code Execution (RCE). Celah RCE pre-authentication di WordPress core sangatlah langka dan belum pernah ditemukan selama lebih dari satu dekade. Jenis celah ini sangat dicari dan bisa dihargai hingga $500.000 (sekitar Rp8 miliar) oleh exploit broker.

Bagaimana ChatGPT Melakukan Riset Keamanan?

Kues tidak hanya bertanya 'apakah WordPress punya bug?' kepada ChatGPT. Ia menggunakan pendekatan yang jauh lebih canggih, terinspirasi dari metode yang digunakan OpenAI untuk membuktikan teorema matematika kompleks. Instruksinya kepada AI sangat spesifik: analisis kode sumber WordPress dari nol, tanpa melihat riwayat pembaruan atau informasi dari internet. AI diminta mencari celah yang bisa dieksploitasi di instalasi standar, menggunakan beberapa agen AI secara paralel selama minimal enam jam.

Sekitar 10 jam kemudian, AI melaporkan telah menemukan SQL injection yang bisa dieksploitasi tanpa login. Kues memverifikasi temuan ini dengan menginstal WordPress di servernya sendiri dan meminta AI untuk mencuri email administrator. Dalam hitungan menit, email tersebut muncul, membuktikan keampuhan AI.

Rangkaian Serangan yang Kompleks

Penemuan SQL injection hanyalah permulaan. Yang lebih mencengangkan adalah bagaimana AI mengembangkan temuan tersebut menjadi serangan penuh. SQL injection awalnya hanya bisa membaca data. Namun, AI menemukan cara untuk merangkai beberapa kelemahan kecil di berbagai fitur WordPress yang secara individual terlihat tidak berbahaya: fitur batch request, sistem embed konten, mekanisme draft perubahan tema, hingga sistem deteksi loop di hierarki konten.

Dengan menggabungkan kelemahan-kelemahan ini secara berurutan, serangan berantai tersebut memungkinkan penyerang untuk sementara menyamar sebagai administrator, cukup lama untuk membuat akun admin baru. Dari sana, pengambilalihan situs sepenuhnya hanya soal beberapa langkah lagi. Seluruh serangan hanya membutuhkan dua permintaan HTTP, sebuah bukti efisiensi yang luar biasa.

Implikasi untuk Keamanan Siber Masa Depan

Temuan ini bukan hanya tentang WordPress, tetapi juga sinyal jelas bahwa AI telah mencapai level yang mampu melakukan riset keamanan siber kelas dunia. Pekerjaan yang sebelumnya hanya bisa dilakukan oleh segelintir ahli terbaik dengan pengalaman bertahun-tahun, kini bisa dibantu oleh AI dengan modal yang sangat terjangkau.

Di satu sisi, ini adalah kabar baik: peneliti keamanan kini bisa menemukan dan menambal celah lebih cepat. Di sisi lain, kemampuan yang sama juga ada di tangan siapa saja yang ingin menyalahgunakannya. Ini menyoroti urgensi untuk terus meningkatkan pertahanan siber dan memahami bagaimana AI dapat menjadi pedang bermata dua dalam lanskap ancaman digital.

Tetaplah waspada dan selalu perbarui sistem Anda. Keamanan siber adalah tanggung jawab kita bersama!

Untuk informasi lebih lanjut mengenai keamanan siber dan cara melindungi diri dari ancaman digital, ikuti terus update dari Merdeka Siber.