softovator.com

Mengenal REA (Reverse Engineer Anything): Tools GitHub Viral yang Membuat Agen AI Bisa Membongkar Aplikasi hingga Level Biner

adminp
Ilustrasi agen AI membongkar aplikasi lapis demi lapis dari antarmuka hingga level biner dengan kartu bukti terverifikasi

Pada awal Oktober 2026, sebuah repositori GitHub yang hampir tidak dikenal, dengan hanya 41 bintang, tiba-tiba meledak. Dalam waktu kurang dari tiga minggu, repositori itu mengumpulkan lebih dari 300.000 bintang dan menjadi salah satu proyek dengan pertumbuhan tercepat dalam sejarah GitHub. Namanya REA, singkatan dari Reverse Engineer Anything.

Janjinya sederhana sekaligus provokatif: “Lihat fitur yang Anda suka. Pahami cara kerjanya, sampai ke level biner.” Artikel ini mengulas REA secara lengkap: apa itu, bagaimana cara kerjanya, siapa saja yang sudah mencobanya beserta hasilnya, apa kata studi independen, hingga risiko keamanan dan hukum yang perlu Anda pahami sebelum memakainya.

Apa Itu REA?

REA adalah perangkat lunak open source berlisensi MIT yang dikembangkan oleh pengembang dengan nama pengguna morluto. Repositori resminya adalah github.com/morluto/rea, dan paketnya didistribusikan lewat npm dengan nama rea-agents.

Secara teknis, REA adalah dua hal sekaligus:

Deskripsi resminya: “One MCP for reverse engineering across binaries, applications, and runtime behavior.” Satu MCP untuk membongkar biner, aplikasi, dan perilaku saat aplikasi berjalan.

Yang perlu dipahami sejak awal: REA sendiri bukan AI. REA adalah “kotak perkakas” yang membuat agen AI mampu memakai alat-alat reverse engineering profesional, seperti Ghidra, IDA, dan JADX, dengan cara yang terstruktur dan dapat diverifikasi.

Mengapa REA Meledak?

Repositori REA dibuat pada 14 April 2026 dan selama berbulan-bulan nyaris tidak diperhatikan. Berikut kronologi pertumbuhannya berdasarkan catatan Moe Lueker:

Tanggal Peristiwa
14 April 2026 Repositori dibuat
Akhir September Baru 34 bintang
2 Oktober 41 bintang
3–8 Oktober “Penyulutan”: dari 123 menjadi 25.576 bintang
11 Oktober Menembus 100.000 bintang
12 Oktober Hari puncak: 51.973 bintang baru dalam sehari
13 Oktober Menembus 200.000 bintang
17 Oktober Menembus 300.000 bintang

Paket npm rea-agents bahkan beberapa kali mencatat lebih dari 100.000 unduhan per hari. Beberapa faktor pendorongnya:

  1. Janji yang mudah dipahami. Siapa pun yang pernah penasaran “bagaimana aplikasi ini bekerja?” langsung paham manfaatnya.
  2. Video demo yang viral. Kreator YouTube seperti Low Level (sekitar 2,35 juta penayangan) dan Nick Saraev (sekitar 1,53 juta penayangan) menguji REA di depan jutaan penonton. Rob Shocks dan Eric Tech juga ikut membuat video.
  3. Agen AI yang sudah cukup matang. Agen koding kini mampu merencanakan investigasi multi-langkah secara mandiri, sehingga alat seperti REA benar-benar bisa dimanfaatkan.
  4. Instalasi satu baris. Cukup npx rea-agents setup.
  5. Momentum. REA menunggangi narasi yang sedang ramai, yaitu bahwa “perangkat lunak tertutup tidak lagi benar-benar tertutup” di era agen AI.

Bagaimana Cara Kerja REA?

Alur dasar

Cara kerja REA dapat digambarkan sebagai rantai berikut:

  1. Anda memberi perintah ke agen AI, misalnya: “Bagaimana fitur color picker di aplikasi ini bekerja?”
  2. Agen AI merencanakan investigasi dan memanggil alat-alat REA melalui MCP, misalnya untuk mencari string, membaca daftar fungsi, atau mendekompilasi metode tertentu.
  3. REA menjalankan analisis secara lokal menggunakan backend yang sesuai dengan jenis target, seperti Ghidra untuk biner native atau JADX untuk APK Android.
  4. REA mengembalikan temuan beserta buktinya dalam bentuk catatan bukti (evidence record).
  5. Agen AI menyusun kesimpulan, menelusuri lebih dalam jika perlu, lalu menjelaskannya kepada Anda, atau bahkan menulis ulang fiturnya.

Catatan bukti: ciri khas REA

Inilah yang membedakan REA dari sekadar “menyuruh AI membaca kode”. Setiap pemanggilan alat menghasilkan catatan bukti yang memuat:

Dengan begitu, setiap klaim agen AI dapat dilacak kembali ke bukti konkret. Menurut README resminya, hasil REA menyertakan “the evidence and limitations behind each conclusion”, yaitu bukti dan batasan di balik setiap kesimpulan.

Analisis statis dan analisis runtime

REA mendukung dua pendekatan:

Backend yang digunakan

REA tidak menciptakan ulang alat-alat reverse engineering, melainkan mengorkestrasi alat yang sudah ada dan terbukti:

Kebutuhan Backend
Biner native Ghidra, Hopper, IDA, Kuna, serta GNU objdump dan Rizin
Android JADX, Apktool, JEB
Web dan runtime Browser berbasis Chrome, PTY native untuk penangkapan proses
Firmware Binwalk, Unblob
Paket jaringan TShark, capinfos
Sinyal logika sigrok-cli
Crash dan eksploitasi pwntools, GDB/pwndbg (opsional)

Alat komersial seperti IDA dan Hopper tetap harus Anda miliki dengan lisensi yang sah. REA hanya memakai instalasi yang sudah ada di komputer Anda.

Apa Saja yang Bisa Dibongkar REA?

Jenis target Yang dapat dianalisis
Biner native Pseudocode, assembly, string, simbol, pemanggilan fungsi, referensi; termasuk Go, Rust, ELF/PE/Mach-O, impor dan sertifikat PE
JavaScript / Electron Modul, impor, source map, rute, IPC, native add-on
.NET Metadata, CIL, perbandingan antar-build (statis)
Android Manifest, kelas, metode hasil dekompilasi, tanda tangan APK, perangkat via adb, aplikasi Flutter
Website Struktur halaman, skrip, observasi jaringan, tangkapan layar, file HAR/SAZ
Lainnya Firmware, PyInstaller, Deno, pcap, SQLite, IL2CPP (Unity), Godot PCK, bytecode EVM, WASM, BEAM, modul kernel, log crash Apple

Jumlah alatnya pun terus bertambah: sekitar 170 alat pada versi 6.4.0, dan menurut salah satu tutorial sudah mencapai 207 alat pada versi 6.7.0.

Cara Memasang REA

Persyaratan

Instalasi

Cara tercepat:

npx rea-agents setup

Perintah ini mendaftarkan MCP server ke agen AI Anda dan memasang instruksi alur kerja. Setelah itu, jalankan ulang agen AI Anda. Alternatif lain adalah memasang CLI secara global:

npm install --global rea-agents
rea --help
rea doctor
rea update

Perintah rea doctor berguna untuk memeriksa backend mana saja yang sudah siap digunakan. Proses setup juga otomatis membuat cadangan konfigurasi agen yang sudah ada.

⚠️ Waspada repositori palsu

Popularitas REA dimanfaatkan oknum. Sejak sekitar 10 Oktober 2026, muncul sejumlah repositori GitHub tiruan yang menawarkan “unduhan resmi” REA dalam bentuk file ZIP atau installer. Jangan unduh dan jalankan file semacam itu. Sumber resmi REA hanya:

REA dipasang melalui npm, bukan melalui file ZIP atau .exe dari repositori lain.

Mereka yang Sudah Mencoba REA

Berikut beberapa pengalaman nyata dari pengguna yang mendokumentasikan hasil uji mereka secara terbuka.

1. Mukesh Murugan: membangun ulang color picker PowerToys

Mukesh Murugan (codewithmukesh.com) memakai REA bersama Claude Code untuk mempelajari fitur Color Picker di Microsoft PowerToys, yang berlisensi MIT. Ia sengaja menghindari aplikasi lain yang ketentuan penggunaannya melarang reverse engineering.

Kesimpulannya: REA adalah “cara terbaik yang pernah saya lihat untuk memahami cara kerja sebuah fitur di aplikasi yang boleh dianalisis”. Ia menyarankan memperlakukan temuan REA seperti catatan dari rekan kerja yang cerdas: berguna, tetapi temuan penting tetap perlu dicek.

2. Roni Das: uji akurasi pada aplikasi Electron

Roni Das (SystemDesign Academy) menguji REA pada Electron API Demos, aplikasi open source yang kodenya bisa dicocokkan langsung. Ia sengaja tidak menjalankan rea setup agar konfigurasi agen di komputernya tidak berubah, dan memakai CLI secara langsung.

Penilaiannya: REA tidak memberikan informasi palsu, karena semua yang dilaporkannya punya bukti nyata. Risikonya justru ada pada apa yang tidak dilaporkan. Agen AI yang hanya membaca keluaran REA bisa keliru menyimpulkan sesuatu tidak ada, padahal REA sendiri sudah menegaskan bahwa “tidak ditemukan” bukan berarti “tidak ada”.

3. Moe Lueker: membongkar aplikasinya sendiri

Moe Lueker menjalankan REA pada aplikasi Mac buatannya sendiri, HoverSpeech 0.1.3. Meski Ghidra dua kali mengalami timeout, REA tetap berhasil mengidentifikasi model dan suara text-to-speech yang digunakan. Claude kemudian membangun ulang fitur “baca dengan suara” sebagai halaman web. Biayanya cukup besar: sekitar 56 juta token, atau kira-kira US$28,60 dengan harga API.

4. Kasus-kasus dari komunitas

Daftar komunitas awesome-reverse-engineer-anything mengumpulkan dan memeriksa klaim penggunaan REA. Beberapa contohnya:

Daftar yang sama juga mencatat banyak proyek yang keliru diklaim memakai REA. Pelajarannya: tidak semua kisah “AI membongkar aplikasi X” yang viral benar-benar memakai REA.

Apa Kata Studi Independen?

Di tengah euforia, dua studi independen memberikan gambaran yang lebih membumi:

Temuan ini sejalan dengan pengamatan beberapa kreator: untuk target kecil dan sederhana, agen AI biasa sering kali sama cepatnya, bahkan lebih cepat.

Risiko Keamanan dan Hukum

Keamanan

Hukum dan etika

README REA menegaskan bahwa alat ini ditujukan untuk riset yang sah, pendidikan, interoperabilitas, pelestarian perangkat lunak, serta analisis perangkat lunak milik sendiri atau yang Anda miliki izinnya. Banyak aplikasi komersial secara tegas melarang reverse engineering dalam lisensi atau ketentuan penggunaannya.

Bagi pengguna di Indonesia, perhatikan juga ketentuan hak cipta yang berlaku. Selalu baca lisensi aplikasi sebelum menganalisisnya, dan jika tujuan Anda membuat versi sendiri dari sebuah alat, memulai dari proyek open source adalah jalan yang jauh lebih aman, seperti yang dilakukan Mukesh Murugan dengan PowerToys.

Opini Softovator

Yang membuat REA menarik

1. Pendekatan berbasis bukti. Fitur terbaik REA bukan kecanggihannya, melainkan disiplinnya. Setiap klaim disertai hash, backend, dan batasan analisis. Di era ketika AI sering “berhalusinasi”, pendekatan seperti ini sangat berharga. Uji Roni Das membuktikannya: 30 dari 30 kutipan lokasi kode benar.

2. Menurunkan hambatan masuk. Dulu, mempelajari cara kerja sebuah biner membutuhkan keahlian bertahun-tahun di Ghidra atau IDA. REA memungkinkan pengembang biasa, mahasiswa, dan peneliti keamanan pemula untuk belajar dari perangkat lunak nyata dengan bimbingan agen AI.

3. Cakupan yang sangat luas. Dari aplikasi Electron dan APK Android hingga firmware, paket jaringan, dan game Unity, semuanya dalam satu antarmuka.

Yang perlu disikapi realistis

1. Popularitas melampaui bukti. Ratusan ribu bintang dalam beberapa minggu lebih mencerminkan viralitas daripada manfaat yang terukur. Studi rea-lab dengan 482 percobaan tidak menemukan peningkatan signifikan, dan biayanya justru dua kali lipat. Untuk tugas sederhana, agen AI biasa mungkin sudah cukup.

2. “Tidak ditemukan” bukan berarti “tidak ada”. Ini menurut kami risiko paling halus. REA jujur soal keterbatasannya, tetapi agen AI (dan manusia yang terburu-buru) bisa salah menyimpulkan. Untuk audit keamanan, celah semacam nodeIntegration: true yang terlewat bisa berakibat fatal.

3. Biaya token tidak kecil. Puluhan juta token untuk satu investigasi berarti puluhan dolar. Tim perlu menghitung biaya ini sebelum menjadikan REA alat harian.

4. Pedang bermata dua. Alat yang membuat pembela lebih cepat memahami malware juga membuat pihak yang tidak bertanggung jawab lebih mudah meniru fitur atau mencari celah aplikasi orang lain. Etika dan kepatuhan hukum sepenuhnya ada di tangan pengguna.

Siapa yang cocok memakai REA?

Kesimpulan

REA adalah salah satu proyek open source paling fenomenal tahun 2026. Ia menunjukkan bagaimana agen AI, ketika dibekali alat yang tepat dan disiplin bukti yang ketat, dapat membongkar perangkat lunak dari antarmuka hingga level biner. Pengalaman Mukesh Murugan dan Roni Das membuktikan REA akurat dalam hal yang dilaporkannya.

Namun, REA bukan tongkat sihir. Studi independen menunjukkan manfaatnya belum selalu sebanding dengan biaya dan waktunya, dan kelemahan terbesarnya ada pada hal-hal yang tidak ia temukan. Gunakan REA sebagai rekan kerja yang cerdas, bukan sebagai hakim terakhir. Pasang hanya dari sumber resmi, jalankan di lingkungan yang aman, dan selalu pastikan Anda berhak menganalisis perangkat lunak yang dibongkar.

Sumber

Exit mobile version