Pada awal Oktober 2026, sebuah repositori GitHub yang hampir tidak dikenal, dengan hanya 41 bintang, tiba-tiba meledak. Dalam waktu kurang dari tiga minggu, repositori itu mengumpulkan lebih dari 300.000 bintang dan menjadi salah satu proyek dengan pertumbuhan tercepat dalam sejarah GitHub. Namanya REA, singkatan dari Reverse Engineer Anything.
Janjinya sederhana sekaligus provokatif: “Lihat fitur yang Anda suka. Pahami cara kerjanya, sampai ke level biner.” Artikel ini mengulas REA secara lengkap: apa itu, bagaimana cara kerjanya, siapa saja yang sudah mencobanya beserta hasilnya, apa kata studi independen, hingga risiko keamanan dan hukum yang perlu Anda pahami sebelum memakainya.
Apa Itu REA?
REA adalah perangkat lunak open source berlisensi MIT yang dikembangkan oleh pengembang dengan nama pengguna morluto. Repositori resminya adalah github.com/morluto/rea, dan paketnya didistribusikan lewat npm dengan nama rea-agents.
Secara teknis, REA adalah dua hal sekaligus:
- MCP server, yaitu “jembatan” berbasis Model Context Protocol yang memungkinkan agen AI seperti Claude Code, Codex, Cursor, Gemini CLI, dan Grok Build memanggil alat-alat reverse engineering secara langsung.
- Command-line tool (CLI) bernama
rea, yang menjalankan alur kerja yang sama tanpa harus melalui agen AI.
Deskripsi resminya: “One MCP for reverse engineering across binaries, applications, and runtime behavior.” Satu MCP untuk membongkar biner, aplikasi, dan perilaku saat aplikasi berjalan.
Yang perlu dipahami sejak awal: REA sendiri bukan AI. REA adalah “kotak perkakas” yang membuat agen AI mampu memakai alat-alat reverse engineering profesional, seperti Ghidra, IDA, dan JADX, dengan cara yang terstruktur dan dapat diverifikasi.
Mengapa REA Meledak?
Repositori REA dibuat pada 14 April 2026 dan selama berbulan-bulan nyaris tidak diperhatikan. Berikut kronologi pertumbuhannya berdasarkan catatan Moe Lueker:
| Tanggal | Peristiwa |
|---|---|
| 14 April 2026 | Repositori dibuat |
| Akhir September | Baru 34 bintang |
| 2 Oktober | 41 bintang |
| 3–8 Oktober | “Penyulutan”: dari 123 menjadi 25.576 bintang |
| 11 Oktober | Menembus 100.000 bintang |
| 12 Oktober | Hari puncak: 51.973 bintang baru dalam sehari |
| 13 Oktober | Menembus 200.000 bintang |
| 17 Oktober | Menembus 300.000 bintang |
Paket npm rea-agents bahkan beberapa kali mencatat lebih dari 100.000 unduhan per hari. Beberapa faktor pendorongnya:
- Janji yang mudah dipahami. Siapa pun yang pernah penasaran “bagaimana aplikasi ini bekerja?” langsung paham manfaatnya.
- Video demo yang viral. Kreator YouTube seperti Low Level (sekitar 2,35 juta penayangan) dan Nick Saraev (sekitar 1,53 juta penayangan) menguji REA di depan jutaan penonton. Rob Shocks dan Eric Tech juga ikut membuat video.
- Agen AI yang sudah cukup matang. Agen koding kini mampu merencanakan investigasi multi-langkah secara mandiri, sehingga alat seperti REA benar-benar bisa dimanfaatkan.
- Instalasi satu baris. Cukup
npx rea-agents setup. - Momentum. REA menunggangi narasi yang sedang ramai, yaitu bahwa “perangkat lunak tertutup tidak lagi benar-benar tertutup” di era agen AI.
Bagaimana Cara Kerja REA?
Alur dasar
Cara kerja REA dapat digambarkan sebagai rantai berikut:
- Anda memberi perintah ke agen AI, misalnya: “Bagaimana fitur color picker di aplikasi ini bekerja?”
- Agen AI merencanakan investigasi dan memanggil alat-alat REA melalui MCP, misalnya untuk mencari string, membaca daftar fungsi, atau mendekompilasi metode tertentu.
- REA menjalankan analisis secara lokal menggunakan backend yang sesuai dengan jenis target, seperti Ghidra untuk biner native atau JADX untuk APK Android.
- REA mengembalikan temuan beserta buktinya dalam bentuk catatan bukti (evidence record).
- Agen AI menyusun kesimpulan, menelusuri lebih dalam jika perlu, lalu menjelaskannya kepada Anda, atau bahkan menulis ulang fiturnya.
Catatan bukti: ciri khas REA
Inilah yang membedakan REA dari sekadar “menyuruh AI membaca kode”. Setiap pemanggilan alat menghasilkan catatan bukti yang memuat:
- Hash file yang dianalisis, sehingga jelas file mana yang diperiksa
- Backend yang digunakan (misalnya Ghidra atau JADX)
- Hasil analisis
- Keterbatasan analisis tersebut
Dengan begitu, setiap klaim agen AI dapat dilacak kembali ke bukti konkret. Menurut README resminya, hasil REA menyertakan “the evidence and limitations behind each conclusion”, yaitu bukti dan batasan di balik setiap kesimpulan.
Analisis statis dan analisis runtime
REA mendukung dua pendekatan:
- Analisis statis: membaca file tanpa menjalankan aplikasinya, misalnya untuk aplikasi JavaScript/Electron dan .NET.
- Analisis runtime: menjalankan atau berinteraksi dengan aplikasi untuk mengamati perilakunya, misalnya lewat browser berbasis Chrome atau penangkapan proses melalui PTY. Penting dicatat, analisis ini berjalan dengan hak akses akun pengguna Anda.
Backend yang digunakan
REA tidak menciptakan ulang alat-alat reverse engineering, melainkan mengorkestrasi alat yang sudah ada dan terbukti:
| Kebutuhan | Backend |
|---|---|
| Biner native | Ghidra, Hopper, IDA, Kuna, serta GNU objdump dan Rizin |
| Android | JADX, Apktool, JEB |
| Web dan runtime | Browser berbasis Chrome, PTY native untuk penangkapan proses |
| Firmware | Binwalk, Unblob |
| Paket jaringan | TShark, capinfos |
| Sinyal logika | sigrok-cli |
| Crash dan eksploitasi | pwntools, GDB/pwndbg (opsional) |
Alat komersial seperti IDA dan Hopper tetap harus Anda miliki dengan lisensi yang sah. REA hanya memakai instalasi yang sudah ada di komputer Anda.
Apa Saja yang Bisa Dibongkar REA?
| Jenis target | Yang dapat dianalisis |
|---|---|
| Biner native | Pseudocode, assembly, string, simbol, pemanggilan fungsi, referensi; termasuk Go, Rust, ELF/PE/Mach-O, impor dan sertifikat PE |
| JavaScript / Electron | Modul, impor, source map, rute, IPC, native add-on |
| .NET | Metadata, CIL, perbandingan antar-build (statis) |
| Android | Manifest, kelas, metode hasil dekompilasi, tanda tangan APK, perangkat via adb, aplikasi Flutter |
| Website | Struktur halaman, skrip, observasi jaringan, tangkapan layar, file HAR/SAZ |
| Lainnya | Firmware, PyInstaller, Deno, pcap, SQLite, IL2CPP (Unity), Godot PCK, bytecode EVM, WASM, BEAM, modul kernel, log crash Apple |
Jumlah alatnya pun terus bertambah: sekitar 170 alat pada versi 6.4.0, dan menurut salah satu tutorial sudah mencapai 207 alat pada versi 6.7.0.
Cara Memasang REA
Persyaratan
- Node.js versi terbaru (22.x, 24.x, atau 26.x sesuai versi minimum di README) beserta npm
- Agen AI yang mendukung MCP lokal, seperti Claude Code, Codex, Cursor, atau Gemini CLI
- Backend sesuai target, misalnya JDK 21 dan Ghidra untuk biner native
Instalasi
Cara tercepat:
npx rea-agents setupPerintah ini mendaftarkan MCP server ke agen AI Anda dan memasang instruksi alur kerja. Setelah itu, jalankan ulang agen AI Anda. Alternatif lain adalah memasang CLI secara global:
npm install --global rea-agents
rea --help
rea doctor
rea updatePerintah rea doctor berguna untuk memeriksa backend mana saja yang sudah siap digunakan. Proses setup juga otomatis membuat cadangan konfigurasi agen yang sudah ada.
⚠️ Waspada repositori palsu
Popularitas REA dimanfaatkan oknum. Sejak sekitar 10 Oktober 2026, muncul sejumlah repositori GitHub tiruan yang menawarkan “unduhan resmi” REA dalam bentuk file ZIP atau installer. Jangan unduh dan jalankan file semacam itu. Sumber resmi REA hanya:
- Repositori GitHub morluto/rea
- Situs rea.tools
- Paket npm
rea-agents
REA dipasang melalui npm, bukan melalui file ZIP atau .exe dari repositori lain.
Mereka yang Sudah Mencoba REA
Berikut beberapa pengalaman nyata dari pengguna yang mendokumentasikan hasil uji mereka secara terbuka.
1. Mukesh Murugan: membangun ulang color picker PowerToys
Mukesh Murugan (codewithmukesh.com) memakai REA bersama Claude Code untuk mempelajari fitur Color Picker di Microsoft PowerToys, yang berlisensi MIT. Ia sengaja menghindari aplikasi lain yang ketentuan penggunaannya melarang reverse engineering.
- Setup: Windows 11,
rea-agents6.4.0, JDK 21, dan Ghidra. Analisis native di Windows masih eksperimental, sehingga hanya 59 dari 170 alat yang tersedia. - Akurasi: klaim REA ia cocokkan dengan kode sumber PowerToys 0.98.0. Hasilnya, 8 dari 9 klaim sepenuhnya benar dan 1 benar sebagian.
- Hasil: aplikasi baru bernama hexgrab, color picker .NET 10 WPF sepanjang 741 baris C# tanpa paket NuGet, yang lulus 6 dari 6 uji end-to-end.
- Kekurangan: REA melewatkan registrasi hotkey karena kodenya ada di komponen yang tidak ia berikan, pencarian string pertama “tersesat” ke wrapper logging, dan daftar member .NET mencapai 2,7 MB sehingga terlalu besar untuk konteks agen.
Kesimpulannya: REA adalah “cara terbaik yang pernah saya lihat untuk memahami cara kerja sebuah fitur di aplikasi yang boleh dianalisis”. Ia menyarankan memperlakukan temuan REA seperti catatan dari rekan kerja yang cerdas: berguna, tetapi temuan penting tetap perlu dicek.
2. Roni Das: uji akurasi pada aplikasi Electron
Roni Das (SystemDesign Academy) menguji REA pada Electron API Demos, aplikasi open source yang kodenya bisa dicocokkan langsung. Ia sengaja tidak menjalankan rea setup agar konfigurasi agen di komputernya tidak berubah, dan memakai CLI secara langsung.
- Kecepatan: REA membaca 79 file dan mem-parsing 54 file JavaScript hanya dalam 3,5 detik tanpa kegagalan.
- Ketepatan: seluruh 30 lokasi file dan baris yang dikutip REA benar. REA bahkan menemukan 18 kanal IPC, satu lebih banyak daripada pencarian teks biasa.
- Celah: REA tidak mencatat 8 lokasi pengiriman balasan ke jendela, menghitung 1 jendela browser padahal ada 8, dan tidak melaporkan 4 file yang mengaktifkan
nodeIntegration: true, temuan yang justru penting bagi peninjau keamanan.
Penilaiannya: REA tidak memberikan informasi palsu, karena semua yang dilaporkannya punya bukti nyata. Risikonya justru ada pada apa yang tidak dilaporkan. Agen AI yang hanya membaca keluaran REA bisa keliru menyimpulkan sesuatu tidak ada, padahal REA sendiri sudah menegaskan bahwa “tidak ditemukan” bukan berarti “tidak ada”.
3. Moe Lueker: membongkar aplikasinya sendiri
Moe Lueker menjalankan REA pada aplikasi Mac buatannya sendiri, HoverSpeech 0.1.3. Meski Ghidra dua kali mengalami timeout, REA tetap berhasil mengidentifikasi model dan suara text-to-speech yang digunakan. Claude kemudian membangun ulang fitur “baca dengan suara” sebagai halaman web. Biayanya cukup besar: sekitar 56 juta token, atau kira-kira US$28,60 dengan harga API.
4. Kasus-kasus dari komunitas
Daftar komunitas awesome-reverse-engineer-anything mengumpulkan dan memeriksa klaim penggunaan REA. Beberapa contohnya:
- DX-Ball (N0zoM1z0): satu fungsi sound-pan dari game klasik DX-Ball 1.07 berhasil dibangun ulang dalam C/C++ dan cocok dengan 3.205 kasus uji x86 aslinya. Kasus ini terverifikasi memakai REA, dengan catatan bahwa pembuatnya adalah kontributor REA dan yang dibangun ulang baru satu fungsi, bukan seluruh game.
- xid8300-linux: Claude Code menggunakan REA untuk memulihkan protokol sebuah printer kartu, sehingga printer tersebut berhasil mencetak dari Linux.
- Demo resmi di rea.tools: jembatan clipboard Electron di Notion, pembuatan kode TOTP di Aegis 3.4.3, dan flag checker dari DownUnderCTF 2023.
- Klaim viral yang belum terverifikasi: @AIWarper mengaku mendekompilasi game Steam miliknya ke C# dan membangunnya ulang di Unity dalam sekitar 30 menit (467 ribu penayangan), dan @dotey mengaku men-deobfuscate front-end Claude Slides lalu menulisnya ulang. Keduanya hanya berdasarkan unggahan pembuatnya; kodenya tidak menyebut REA secara eksplisit.
Daftar yang sama juga mencatat banyak proyek yang keliru diklaim memakai REA. Pelajarannya: tidak semua kisah “AI membongkar aplikasi X” yang viral benar-benar memakai REA.
Apa Kata Studi Independen?
Di tengah euforia, dua studi independen memberikan gambaran yang lebih membumi:
- rea-lab: lima studi yang dirancang dan didaftarkan sebelumnya (preregistered) dengan total 482 percobaan. Hasilnya, tidak ada peningkatan signifikan pada tingkat keberhasilan menyelesaikan tugas ketika agen memakai REA. Percobaan dengan REA justru memakan waktu dan biaya sekitar dua kali lipat.
- leanrea: 36 percobaan terhadap REA 6.5.0. Agen yang hanya dibekali panduan CLI sederhana hampir menyamai akurasi REA (74/75 berbanding 75/75) dengan waktu dan biaya lebih rendah. Studi ini masih terbatas: tiga pengulangan per sel, satu model, dan satu mesin.
Temuan ini sejalan dengan pengamatan beberapa kreator: untuk target kecil dan sederhana, agen AI biasa sering kali sama cepatnya, bahkan lebih cepat.
Risiko Keamanan dan Hukum
Keamanan
- REA bukan sandbox. REA berjalan dengan hak akses akun Anda. Analisis runtime berarti Anda menjalankan aplikasi yang sedang dianalisis. Jangan menganalisis malware atau file mencurigakan di komputer utama; gunakan mesin virtual yang terisolasi.
- Prompt injection. File yang dianalisis bisa saja berisi teks yang sengaja ditujukan untuk “memerintah” agen AI Anda. Selalu tinjau tindakan yang diusulkan agen.
- Data dikirim ke penyedia model. REA menganalisis secara lokal, tetapi temuan yang dibaca agen AI tetap dikirim ke penyedia model (misalnya Anthropic atau OpenAI) sesuai kebijakan data masing-masing. Pertimbangkan hal ini sebelum menganalisis kode yang bersifat rahasia.
- Repositori palsu, seperti dijelaskan di atas.
Hukum dan etika
README REA menegaskan bahwa alat ini ditujukan untuk riset yang sah, pendidikan, interoperabilitas, pelestarian perangkat lunak, serta analisis perangkat lunak milik sendiri atau yang Anda miliki izinnya. Banyak aplikasi komersial secara tegas melarang reverse engineering dalam lisensi atau ketentuan penggunaannya.
Bagi pengguna di Indonesia, perhatikan juga ketentuan hak cipta yang berlaku. Selalu baca lisensi aplikasi sebelum menganalisisnya, dan jika tujuan Anda membuat versi sendiri dari sebuah alat, memulai dari proyek open source adalah jalan yang jauh lebih aman, seperti yang dilakukan Mukesh Murugan dengan PowerToys.
Opini Softovator
Yang membuat REA menarik
1. Pendekatan berbasis bukti. Fitur terbaik REA bukan kecanggihannya, melainkan disiplinnya. Setiap klaim disertai hash, backend, dan batasan analisis. Di era ketika AI sering “berhalusinasi”, pendekatan seperti ini sangat berharga. Uji Roni Das membuktikannya: 30 dari 30 kutipan lokasi kode benar.
2. Menurunkan hambatan masuk. Dulu, mempelajari cara kerja sebuah biner membutuhkan keahlian bertahun-tahun di Ghidra atau IDA. REA memungkinkan pengembang biasa, mahasiswa, dan peneliti keamanan pemula untuk belajar dari perangkat lunak nyata dengan bimbingan agen AI.
3. Cakupan yang sangat luas. Dari aplikasi Electron dan APK Android hingga firmware, paket jaringan, dan game Unity, semuanya dalam satu antarmuka.
Yang perlu disikapi realistis
1. Popularitas melampaui bukti. Ratusan ribu bintang dalam beberapa minggu lebih mencerminkan viralitas daripada manfaat yang terukur. Studi rea-lab dengan 482 percobaan tidak menemukan peningkatan signifikan, dan biayanya justru dua kali lipat. Untuk tugas sederhana, agen AI biasa mungkin sudah cukup.
2. “Tidak ditemukan” bukan berarti “tidak ada”. Ini menurut kami risiko paling halus. REA jujur soal keterbatasannya, tetapi agen AI (dan manusia yang terburu-buru) bisa salah menyimpulkan. Untuk audit keamanan, celah semacam nodeIntegration: true yang terlewat bisa berakibat fatal.
3. Biaya token tidak kecil. Puluhan juta token untuk satu investigasi berarti puluhan dolar. Tim perlu menghitung biaya ini sebelum menjadikan REA alat harian.
4. Pedang bermata dua. Alat yang membuat pembela lebih cepat memahami malware juga membuat pihak yang tidak bertanggung jawab lebih mudah meniru fitur atau mencari celah aplikasi orang lain. Etika dan kepatuhan hukum sepenuhnya ada di tangan pengguna.
Siapa yang cocok memakai REA?
- Peneliti keamanan dan analis malware, untuk mempercepat triase dan mendokumentasikan temuan berbasis bukti (di lingkungan terisolasi).
- Pengembang yang ingin memahami cara kerja fitur di aplikasi open source atau aplikasi milik sendiri yang dokumentasinya minim.
- Tim yang memelihara sistem warisan (legacy) tanpa kode sumber yang lengkap.
- Pendidik dan mahasiswa yang belajar reverse engineering dan arsitektur perangkat lunak.
Kesimpulan
REA adalah salah satu proyek open source paling fenomenal tahun 2026. Ia menunjukkan bagaimana agen AI, ketika dibekali alat yang tepat dan disiplin bukti yang ketat, dapat membongkar perangkat lunak dari antarmuka hingga level biner. Pengalaman Mukesh Murugan dan Roni Das membuktikan REA akurat dalam hal yang dilaporkannya.
Namun, REA bukan tongkat sihir. Studi independen menunjukkan manfaatnya belum selalu sebanding dengan biaya dan waktunya, dan kelemahan terbesarnya ada pada hal-hal yang tidak ia temukan. Gunakan REA sebagai rekan kerja yang cerdas, bukan sebagai hakim terakhir. Pasang hanya dari sumber resmi, jalankan di lingkungan yang aman, dan selalu pastikan Anda berhak menganalisis perangkat lunak yang dibongkar.
Sumber
- GitHub: morluto/rea (repositori resmi)
- Mukesh Murugan: REA (Reverse Engineer Anything): What It Is, How I Used It
- Roni Das, SystemDesign Academy: Reverse Engineer Anything (REA) repo: setup and a real test
- Moe Lueker: Reverse Engineer Anything (REA): What It Is and Why It Exploded
- GitHub: awesome-reverse-engineer-anything (daftar kasus komunitas)
- DEV Community: REA GitHub Tutorial: Reverse Engineer Anything with Claude Code
2 Replies to “Mengenal REA (Reverse Engineer Anything): Tools GitHub Viral yang Membuat Agen AI Bisa Membongkar Aplikasi hingga Level Biner”