Kenapa AI Ini Bisa Bongkar Kode Aplikasi Tanpa Source?

Bayangkan kamu menemukan bug aneh di sebuah aplikasi desktop. Tidak ada kode sumber, dokumentasinya hilang, dan satu-satunya orang yang paham logikanya sudah resign dua tahun lalu.

Biasanya kamu butuh skill reverse engineering bertahun-tahun untuk membongkar misteri seperti itu. Pada 7 Oktober 2026, sebuah toolkit open source bernama REA muncul dan mengubah persamaannya: ia memberi coding agent kemampuan membaca biner, lalu dalam sehari melesat ke peringkat satu GitHub Trending.

REA adalah singkatan dari Reverse Engineer Anything. Ia bukan sekadar decompiler, tapi jembatan antara AI coding agent dan tool reverse engineering profesional seperti Ghidra dan IDA Pro. Hasilnya bikin heboh seluruh komunitas developer.

Yang Sebenarnya Dibangun morluto

REA dibuat oleh seorang developer dengan nama samaran morluto dan dirilis sebagai proyek open source di bawah lisensi MIT. Ia hadir dalam dua bentuk sekaligus: sebuah MCP server dan sebuah command-line tool yang dipasang lewat satu perintah npx rea-agents@latest setup.

Begitu terpasang, REA bisa dipakai langsung dari sesi agent seperti Claude Code atau Cursor. Dokumentasinya menyebut ada 12 coding agent yang didukung, dengan 139 MCP tool dan 94 perintah CLI yang berdiri di balik satu instalasi. Artinya agent kamu tidak lagi menebak cara kerja sebuah program, tapi benar-benar bisa memeriksanya.

Filosofi proyek ini diringkas dalam tiga langkah yang sederhana. Pertama, decompile untuk memulihkan kode yang bisa dibaca beserta petunjuk penamaan. Kedua, trace eksekusi sampai sebuah fitur bisa dijelaskan dengan bukti. Ketiga, bangun ulang logikanya di stack kamu sendiri. Setiap kesimpulan yang dihasilkan wajib disertai bukti dan catatan keterbatasannya, bukan sekadar tebakan model yang terdengar meyakinkan.

Seberapa Luas Jangkauannya

Target yang bisa dibedah REA cukup ambisius: biner native, aplikasi Electron dan JavaScript, assembly .NET, sampai website. Versi 4.1 yang dirilis tidak lama setelah peluncuran menambah analisis APK Android lewat JADX dan analisis firmware lewat Binwalk dan Unblob, plus dukungan IDA Pro sebagai backend analisis.

JADX dan IDA Pro bukan mainan. Keduanya adalah tool yang dipakai reverse engineer profesional selama bertahun-tahun. REA tidak menggantikan mereka, ia menempatkan agent AI di kursi pengemudi dan membiarkan tool-tool itu bekerja sebagai mesinnya. Untuk target JavaScript dan Electron, prosesnya bahkan tidak butuh engine native sama sekali.

Situs resminya mendemokan kemampuan ini lewat dua contoh yang mudah dipahami. Pertama, Windows Calculator: ternyata tombol persen memakai aturan berbeda setelah operator tambah dan operator kali, sesuatu yang hanya bisa dipastikan dengan membaca handler aslinya. Kedua, game dino Chrome: kecepatannya mulai dari 6, bertambah 0.001 tiap update, dan berhenti di 13. Detail sekecil itu bisa dipulihkan tanpa melihat satu baris pun source code aslinya.

Kenapa Komunitas Langsung Heboh

Angkanya sulit diabaikan. Dalam 24 jam pertama, REA mengumpulkan sekitar 2.956 star, dan keesokan harinya totalnya sudah menembus 10.400 star. Sejumlah laporan berikutnya mencatat angkanya terus melesat mendekati 30 ribu star dengan ribuan fork.

Thread Hacker News-nya menembus ratusan poin dan nangkring di front page selama berhari-hari. Matthew Berman, seorang kreator konten AI yang cukup dikenal, ikut mempromosikannya sambil melempar peringatan: momen ini seperti era awal Napster, dan ia memprediksi gugatan hukum tidak akan lama lagi datang.

Satu hal yang membuat proyek ini dipercaya komunitas adalah kejujurannya soal batasan. REA tidak mengklaim bisa memulihkan kode sumber asli atau mengkloning aplikasi secara utuh. Semua analisis juga berjalan di mesin pengguna sendiri, sehingga biner yang diperiksa tidak pernah diunggah ke layanan cloud mana pun. Model kepercayaan ini jauh berbeda dibanding mengunggah aplikasi kompetitor ke API milik orang lain.

Yang Membuat Banyak Orang Gelisah

Kegelisahan itu bukan tanpa alasan. Beberapa hari sebelum REA rilis, sebuah tool AI lain bernama ARTEX dituding terlibat dalam pembobolan tujuh bank di Korea Selatan yang datanya dilaporkan CrowdStrike. Developer ARTEX akhirnya menarik repositorinya dari GitHub, tapi kode yang sudah terlanjur di-fork tidak bisa ditarik kembali.

REA sendiri bukan tool peretasan, dan penggunaan sahnya sangat banyak: developer yang membangun ulang fitur yang source code-nya hilang, peneliti keamanan yang mengaudit klaim vendor, atau siapa pun yang mengembalikan kompatibilitas aplikasi yang ditinggalkan pembuatnya. Decompile untuk interoperabilitas dan riset pun legal di banyak yurisdiksi.

Yang berubah bukan legalitasnya, tapi siapa yang bisa melakukannya. Membongkar biner nontrivial secara manual dulu butuh orang dengan latihan bertahun-tahun dan kesabaran luar biasa. Kini agent yang terhubung ke REA bisa mengunyah loop decompile, trace, dan recreate dalam satu sesi. Orang yang mengendalikannya bahkan tidak perlu bisa membaca assembly untuk mendapat jawaban yang usable.

Buat vendor software tertutup, ini kabar yang tidak nyaman. Sebagian dari mereka selama ini bersandar pada sulitnya me-decompile biner sebagai perlindungan lunak, baik terhadap kloning maupun terhadap peneliti yang menemukan celah secara diam-diam. Perlindungan itu kini harus diasumsikan jauh lebih tipis dibanding seminggu yang lalu. Bukan berarti semua vendor harus panik, tapi keputusan soal obfuscation dan cakupan bug bounty layak ditinjau ulang.

Pelajaran Buat Developer

Terlepas dari kontroversinya, REA menunjukkan arah yang jelas: debugging aplikasi tanpa source code tidak lagi monopoli segelintir spesialis. Developer yang memelihara aplikasi warisan atau menginvestigasi perilaku aneh sebuah library kini punya asisten yang bekerja dengan bukti, bukan tebakan.

Buat kamu yang membangun tool sendiri, polanya layak ditiru. REA tidak mengganti keahlian manusia, ia menurunkan biaya untuk sampai ke bukti yang bisa diverifikasi. Kamu bisa melihat pendekatan serupa di /projects, tempat saya mendokumentasikan eksperimen tooling dan automasi yang saya kerjakan.

Satu hal terakhir yang patut dicatat: proyek sebesar ini lahir dari satu developer independen, bukan lab raksasa dengan funding ratusan juta dolar. Di era coding agent, satu orang dengan ide yang tepat bisa menggeser seluruh disiplin ilmu dalam seminggu. Itu kabar baik sekaligus peringatan, tergantung di sisi mana kamu berdiri.