Dalam dua pekan terakhir, seorang peneliti keamanan bernama Chaz Schlarp menghabiskan malam-malamnya untuk membongkar perangkat keras di sekelilingnya.

Bukan untuk merusak, melainkan untuk memahami.

Hasilnya, dari mikrofon hingga lampu ring, semua ternyata bisa "diajak bicara" bahkan dikendalikan tanpa izin.

Schlarp memulai petualangan ini dari kejengkelan pribadi: monitor ASUS ROG Swift PG42UQ yang terus memunculkan pengingat membersihkan piksel.

Ia ingin menghilangkan notifikasi itu.

Namun, obsesinya merambat ke perangkat lain.

Dengan bantuan agen kecerdasan buatan, Claude Opus 5, ia membalikkan rekayasa firmware Insta360 Link, mikrofon Shure MV7, hingga Elgato Cam Link 4K. Total, butuh sekitar 13 jam kerja mesin dan 98 kali intervensi ringan darinya.

Hasilnya mencengangkan.

Pada webcam Insta360, ia menemukan bahwa lampu indikator hijau saat merekam dapat dipadamkan lewat modifikasi tabel pola di firmware.

Perangkat tetap merekam tanpa tanda visual.

"Itu mengerikan," tulis Schlarp.

Pada mikrofon Shure, ia bahkan menemukan shell perintah teks jelas yang bisa diakses melalui browser, lengkap dengan sistem hak akses yang hanya butuh kata sandi berupa nama tingkatan itu sendiri.

Yang paling mencolok adalah lampu Elgato Key Light Mini.

Meski dilengkapi tanda tangan digital Ed25519 untuk pembaruan firmware, celah tetap ada: satu permintaan HTTP POST cukup untuk menonaktifkan mekanisme validasi.

"Jangan sambungkan perangkat ini ke jaringan yang tidak tepercaya," peringat Schlarp.

"Saya tidak akan heran jika ini sudah ada di dunia nyata. Dua tahun ke depan akan sangat menarik."

Dari sudut pandang keamanan, temuan ini adalah pisau bermata dua.

Di satu sisi, kemampuan membongkar firmware membuka jalan bagi interoperabilitas dan kustomisasi. 

Di sisi lain, celah ini kini dapat dieksploitasi dengan biaya dan waktu yang jauh lebih rendah.

Yang dulunya hanya jangkauan aktor negara, kini bisa dilakukan siapa saja dengan bantuan agen AI dan koneksi internet.

WebUSB dan WebHID memperparah keadaan: pengguna cukup sekali klik izin, perangkat mereka bisa dibajak permanen.

Pertahanan terbaik saat ini adalah waspada dan tidak mempercayai perangkat yang tidak dikelola secara ketat.