Kerentanan keamanan tingkat tinggi telah ditemukan pada asisten AI Gemini terintegrasi Google Chrome, yang mengekspos pengguna pada akses kamera dan mikrofon tanpa izin, pencurian file lokal, dan serangan phishing , semuanya tanpa memerlukan interaksi pengguna apa pun selain meluncurkan panel AI bawaan browser
Kerentanan yang dilacak sebagai CVE-2026-0628 ini ditemukan oleh para peneliti di Unit 42 Palo Alto Networks dan secara bertanggung jawab diungkapkan kepada Google pada tanggal 23 Oktober 2025. Google mengkonfirmasi masalah tersebut dan merilis patch pada tanggal 5 Januari 2026, sebelum pengungkapan publik.
Gemini Live di Chrome adalah bagian dari kelas "browser AI" yang berkembang dan menyematkan asisten AI langsung ke dalam lingkungan penjelajahan. Asisten ini, yang juga mencakup Microsoft Copilot di Edge dan produk mandiri seperti Atlas dan Comet, beroperasi sebagai panel samping istimewa yang mampu melakukan ringkasan halaman web secara real-time, otomatisasi tugas, dan bantuan penjelajahan kontekstual.
Karena panel AI ini membutuhkan tampilan "multimodal" dari layar pengguna agar berfungsi secara efektif, Chrome memberikan izin akses yang lebih tinggi kepada panel Gemini, termasuk akses ke kamera, mikrofon, file lokal, dan kemampuan tangkapan layar. Arsitektur istimewa ini, meskipun memungkinkan fitur-fitur canggih, juga secara dramatis memperluas potensi kerentanan browser.
Gemini Live di Chrome adalah bagian dari kelas "browser AI" yang berkembang dan menyematkan asisten AI langsung ke dalam lingkungan penjelajahan. Asisten ini, yang juga mencakup Microsoft Copilot di Edge dan produk mandiri seperti Atlas dan Comet, beroperasi sebagai panel samping istimewa yang mampu melakukan ringkasan halaman web secara real-time, otomatisasi tugas, dan bantuan penjelajahan kontekstual.
Karena panel AI ini membutuhkan tampilan "multimodal" dari layar pengguna agar berfungsi secara efektif, Chrome memberikan izin akses yang lebih tinggi kepada panel Gemini, termasuk akses ke kamera, mikrofon, file lokal, dan kemampuan tangkapan layar. Arsitektur istimewa ini, meskipun memungkinkan fitur-fitur canggih, juga secara dramatis memperluas potensi kerentanan browser.
Kelemahan tersebut terletak pada cara Chrome menangani declarativeNetRequestAPI, yaitu izin ekstensi browser standar yang memungkinkan ekstensi untuk mencegat dan memodifikasi permintaan dan respons web HTTPS. API ini banyak digunakan untuk tujuan yang sah, seperti pemblokiran iklan.
Para peneliti menemukan perbedaan penting dalam cara Chrome memproses permintaan ke hxxps[:]//gemini.google[.]com/app. Ketika URL tersebut dimuat di dalam tab browser biasa, ekstensi dapat mencegat dan menyuntikkan JavaScript ke dalamnya, tetapi ini tidak memberikan hak istimewa khusus.
Namun, ketika URL yang sama dimuat di dalam panel browser Gemini, Chrome akan mengaktifkannya dengan kemampuan tingkat browser yang lebih tinggi.
Namun, ketika URL yang sama dimuat di dalam panel browser Gemini, Chrome akan mengaktifkannya dengan kemampuan tingkat browser yang lebih tinggi.
Dengan memanfaatkan ketidakkonsistenan ini, ekstensi berbahaya yang hanya menggunakan izin dasar dapat menyuntikkan kode JavaScript sembarangan ke dalam panel Gemini yang memiliki hak istimewa, secara efektif membajak komponen peramban tepercaya dan mewarisi semua akses istimewanya.
Memungkinkan Akses ke Kamera dan Mikrofon
Memungkinkan Akses ke Kamera dan Mikrofon
Setelah penyerang berhasil mengendalikan panel Gemini melalui teknik ini, mereka dapat melakukan tindakan berikut tanpa interaksi pengguna apa pun selain korban mengklik tombol Gemini
Risiko phishing sangat berbahaya karena panel Gemini adalah komponen tepercaya yang terintegrasi dengan browser. Konten berbahaya yang ditampilkan di dalamnya memiliki legitimasi inheren yang tidak dimiliki oleh halaman phishing mandiri.
Risiko phishing sangat berbahaya karena panel Gemini adalah komponen tepercaya yang terintegrasi dengan browser. Konten berbahaya yang ditampilkan di dalamnya memiliki legitimasi inheren yang tidak dimiliki oleh halaman phishing mandiri.
Serangan berbasis ekstensi secara historis dianggap berisiko lebih rendah karena prasyarat yang diperlukan untuk menginstal ekstensi berbahaya relatif sederhana. Namun, integrasi panel AI dengan hak akses istimewa secara fundamental mengubah perhitungan ini.
Jumlah ekstensi berbahaya yang disebarkan ke toko web peramban telah meningkat secara signifikan dalam beberapa tahun terakhir. Banyak yang dihapus dengan cepat, tetapi tidak sebelum menjangkau ribuan pengguna.
Selain itu, ekstensi yang sah telah dibajak atau dijual kepada pelaku ancaman yang menyebarkan pembaruan berbahaya ke perangkat yang sudah terpasang, mengubah alat tepercaya menjadi senjata senyap.
Selain itu, ekstensi yang sah telah dibajak atau dijual kepada pelaku ancaman yang menyebarkan pembaruan berbahaya ke perangkat yang sudah terpasang, mengubah alat tepercaya menjadi senjata senyap.
Dalam lingkungan perusahaan, ekstensi yang disusupi dan mendapatkan akses ke kamera, mikrofon, dan file lokal karyawan merupakan risiko keamanan organisasi yang serius, dengan potensi spionase perusahaan dan kebocoran data.
Google merilis perbaikan pada 5 Januari 2026, setelah pengungkapan yang bertanggung jawab. Pengguna yang menjalankan versi Chrome terbaru terlindungi. Organisasi harus memastikan Chrome diperbarui di semua titik akhir sesegera mungkin.
Sumber : https://cybersecuritynews.com/chrome-gemini-vulnerability/
Sumber : https://cybersecuritynews.com/chrome-gemini-vulnerability/