REA Viral: MCP Server yang Bikin AI Agent Bongkar Binary

Pada 10 Oktober 2026, sebuah repository GitHub muncul dengan nama REA, kepanjangan Reverse Engineer Anything. Enam hari kemudian, InfoQ memuat liputannya dengan judul bahwa proyek ini membawa AI agent ke analisis binary. Skala popularitasnya luar biasa. InfoQ menyebut lebih dari 200.000 bintang, dan varian angkanya di situs pihak ketiga bergerak dari sekitar 87.000 sampai 267.000.

Yang dilakukan REA sederhana dan sekaligus-clear. Ini sebuah MCP server, yaitu server yang membuat sebuah software bisa dipanggil sebagai tool oleh AI coding agent. Dengan REA terpasang, Claude Code, Codex, Cursor, atau agent lain bisa bertanya tentang file binary. Jawabannya analisis, bukan tebakan.

Bagian yang paling menarik justru bukan tool-nya. Tiga hal di sekitarnya lebih penting. Angka bintangnya tidak bisa dipertanggungjawabkan, cara kerjanya mengubah apa artinya reverse engineering, dan etikanya belum selesai dibicarakan.

Apa Sebenarnya yang Dilakukan REA

REA menyambungkan agent ke perangkat reverse engineering yang sudah mapan. Backends yang didukung antara lain Ghidra, Hopper, dan IDA. Ghidra sendiri dibuat oleh NSA dan sudah jadi standar de facto untuk analisis binary open source. Hopper adalah disassembler native untuk macOS, dan IDA adalah disassembler plus debugger untuk banyak arsitektur.

Protokol yang dipakai adalah MCP, yang sekarang dikelola di bawah Linux Foundation. Protokol ini memberi agent akses ke tools lewat antarmuka yang seragam, sehingga agent tidak perlu tahu detail internal masing-masing disassembler. Bedanya dengan sekadar mengetik "pakai Ghidra" di chat ada di siklus kerjanya. Agent bisa memverifikasi satu hipotesis terhadap binary, melihat hasilnya, lalu mengoreksi hipotesis itu.

REA berjalan lokal di komputer kamu. Yang dikerjakan:

• Membaca fungsi, cross-reference, dan struktur control flow dari binary.
• Menganalisis JavaScript dan aplikasi Electron, termasuk membongkar bundel aslinya.
• Menganalisis rakitan .NET tanpa memerlukan mesin analisis native.
• Menguji hipotesis terhadap binary secara iteratif, dan melaporkannya sebagai bukti.

Batas yang ditegakkan proyek ini juga jelas. REA tidak mengklaim bisa memulihkan source code asli. Yang dikembalikan adalah pemahaman tentang perilaku, dan itu memang yang(reverse engineer) cari.

Angka Bintang yang Tidak Bisa Dipertanggungjawabkan

Ini bagian yang paling perlu diperhatikan sebelum kamu Putting install apa pun, dan bagian yang paling sering dilewati.

InfoQ menulis "lebih dari 200.000 bintang" pada 17 Oktober 2026. Situs dokumentasi komunitas menulis "87.000+". Directory agent lain menulis 267 ribu. Angka-angka itu saling bertentangan, dan tidak satu pun diambil dari sumber primer pada saat penulisan artikel ini. Halaman organisasi di GitHub yang muncul di hasil pencarian bahkan menampilkan pengikut berjumlah dua orang. Tiga angka berbeda untuk satu repository berarti sebagian berasal dari pengagregat, bukan dari GitHub.

Yang juga perlu dicatat: proyek ini berpindah tempat. Repository-nya pernah muncul di morluto/rea, lalu rea-tools/rea, lalu ReverseEngineerAnything/REA. Ada beberapa cermin (mirror) dengan isi yang serupa, dan nomor versinya berbeda antara cermin dan sumber aslinya. Versi 6.3.0 disebut sebagai rilis 10 Oktober 2026, sementara handbook komunitas menyebut v6.4.0.

Cara paling murah untuk memeriksa satu hal sendiri ada di dua berkas. Buka LICENSE di repository yang kamu rencanakan pakai, lalu ambil daftar tool dari CLI-nya sendiri. Angka bintang bergerak setiap menit, dan angka yang dipakai sebagai alasan install harus bisa kamu cek ulang dalam sepuluh detik.

Bukti yang Bisa Diperiksa: Tiga Showcase

Bagian terkuat proyek ini justru yang paling bisa diuji. Itulah yang membedakan klaim yang terbukti dari klaim yang tidak.

Tiga showcase yang dipamerkan:

• Notion: menelusuri implementasi clipboard di aplikasi Electron-nya, sampai ke level perilaku asynchronous-nya.
• DX-Ball 1,1: merekonstruksi fungsi pemantulan suara. Hasilnya cocok dengan seluruh 3.205 kasus uji x86 asli dan 63 byte fungsi hasil kompilasi.
• Touhou 4: memulihkan perhitungan sudut untuk proyektil peluru dari kode 16-bit.

Angka-angka itu bisa diuji orang lain tanpa percaya apa pun soal proyek ini. Kalau rekonstruksinya benar, programnya harus menghasilkan nilai yang sama persis untuk input yang sama. Inilah standar bukti yang jarang dipakai di proyek AI: bukan screenshot, tapi test case yang bisa dijalankan ulang.

Pertanyaan Etika yang Belum Selesai

Diskusi di Hacker News dan Reddit menunjukkan komunitas ini terbelah dua. Pembagiannya bukan antara yang pro dan yang kontra teknologi.

Kekhawatiran yang paling sering muncul adalah yang paling praktis. Beberapa pengembang independen khawatir pada satu hal yang paling praktis. Reverse engineering yang dibantu AI memudahkan menyalin game milik orang lain, memintas fitur berbayar, lalu memakainya secara komersial tanpa izin. Kekhawatiran itu bukan khayalan. Banyak game indie tahun 2026 hidup dari pemain yang memodifikasi aset sendiri, dan perubahan itu terdokumentasi.

Sebagian orang justru melihat ini sebagai pembebasan. Sebuah komentar di Hacker News menyebut bahwa perubahan ini justru mendorong perusahaan besar memindahkan aplikasi ke cloud. Salah satu jalur reverse engineering akan tertutup begitu tidak ada binary lagi untuk dibedah. Logikanya benar dan sekaligus menyakitkan: kalau reverse engineering lebih mudah, barang yang tidak berbentuk binary lebih sulit dilindungi.

Batas hukumnya sendiri belum tegas. Proyek ini dan dokumentasinya sama-sama menegaskan bahwa pengguna bertanggung jawab memperoleh izin dan mematuhi hukum yang berlaku. Satu peringatan dari penulisnya sendiri menyebut batas ini buram. Ini yang biasanya terjadi. Alat legal punya penggunaan ilegal, dan tidak ada yang bisa merancang alat untuk salah satu tanpa yang lainnya.

Satu Orang di Depan Tiga Alat yang Sudah Jadi

Ada detail yang lolos dari semua liputan. Detail itu menjelaskan kenapa proyek ini muncul dengan bentuk yang sederhana dan cepat.

Dua dari tiga backend itu berbayar. Ghidra gratis dan terbuka, tapi hampir tak ada orang yang mau membacanya langsung tanpa bantuan. Anda harus menghafal bahasa assembly, klik tombol, dan memahami output yang tidak ramah pemula.

REA menyambungkan semuanya ke satu antarmuka, dan antarmuka itu yang dibaca agent. Ini mengubah siapa yang diuntungkan. Ghidra tiba-tiba punya antarmuka untuk orang yang tidak bisa membaca assembly. IDA dan Hopper kehilangan sebagian pengguna kasual yang selama ini mereka layani. Arah perubahan ini belum ada yang tahu mana yang lebih besar.

Satu hal lagi soal penulisnya. Orang yang menulis REA juga menyusun daftar Awesome Reverse Engineering, kumpulan alat dan sumber belajar untuk reverse engineering. Itu memberi konteks. REA bukan proyek yang lahir dari companies atau laboratory. REA lahir dari satu orang yang memang ahli di bidang itu. Dia lalu membuat jalan pintasan dari agent ke tools yang dia kuasai.

Ini juga alasan kenapa angka bintang harus dibaca dengan hati-hati. Proyek yang dibuat satu orang punya bentuk risiko yang berbeda dari proyek yang dibuat tim. Risikonya lebih kecil dari satu sisi, karena tidak ada banyak orang yang bisa menyunting. Risikonya lebih besar dari arah sebaliknya, karena tidak ada orang lain yang memegang konteksnya. Kalau proyek ini berhenti dirawat, tidak ada yang melanjutkan, dan tidak ada yang mengaudit perubahan yang sudah masuk.

Analisis: Dua Risiko yang Jarang Dibahas

Kalau kamu membaca liputan mainstream, kamu dapat kesan ini cuma tool baru yang keren. Dua risiko yang lebih serius hampir tidak disinggung, dan keduanya ada di lapis protokol, bukan di tool-nya.

Pertama, meng-agent-kan menambah rantai pasok baru. MCP server adalah program pihak ketiga di mesin kamu. Aksesnya ke filesystem, jaringan, dan proses kamu. Kalau deskripsi tool-nya bisa dipengaruhi, maka prompt injection bisa masuk lewat sana. Advisory tool yang ditemukan pada 2025 dan 2026 menunjukkan pola berulang. Deskripsi tool menyamar sebagai instruksi sistem, dan rug pull mengubah perilaku tool diam-diam setelah install.

Kedua, ini tool untuk membongkar perangkat lunak orang lain. Berdampingan dengan kemampuan AI menulis exploit, membaca binary yang belum di-hardening memperluas permukaan serangan drastis.

Yang paling fair tentang tool ini juga yang paling sering hilang di liputan. REA tidak membuat reverse engineering menjadi mungkin. Reverse engineering sudah mungkin sejak lama. Yang REA lakukan adalah menurunkan biaya marginalnya drastis, dan itu yang mengubah hitungan siapa yang bisa melakukannya.

Apa yang Perlu Dicek Sebelum Memasang

Empat pertanyaan ini murah untuk dijawab dan menutup sebagian besar risiko.

• Dari repository mana? Buka profil organisasinya, cek jumlah commit dan kontributor, lalu cocokkan nomor versi di README dengan paket npm.
• Lisensinya apa? MIT berarti kodenya terbuka. Itu tidak otomatis berarti aman untuk dijalankan, dan tidak berarti outputnya bebas dari kewajiban hukum.
• Tool apa saja yang dikemas? Kalau paketnya memuat driver, binary, atau skrip shell, itu layak diperiksa satu per satu.
• Datasheetnya berapa? Kalau kamu menjalankan ini di mesin kerja, pakai akun dan kunci terpisah dari yang lain. Biaya pisahnya satu menit, dan insidennya satu jam.

Dan satu hal yang sering terlewat. Pada 17 Oktober 2026, InfoQ menulis bahwa REA masuk halaman depan Hacker News, dan diskusinya berisi argumen dua arah. Proyek viral bukan tanda langsung aman, dan proyek yang sepi bukan tanda langsung berbahaya. Yang menentukan adalah apakah kamu tahu apa yang kamu pasang.

Ada satu pertanyaan yang jarang ditanyakan dan belum bisa dijawab dari arsip. Kalau tool ini membuat reverse engineering jadi murah, siapa yang dirugikan? Bukan cuma pemilik perangkat lunak. Software yang dibangun dengan asumsi binary-nya akan selalu aman ikut kehilangan asumsi itu. Dan informasi tentang sistem internal yang tadinya butuh reverse engineer berpengalaman, sekarang bisa didapat dari orang yang belum pernah menyentuh satu pun instruksi assembly. Itu perubahan yang jauh lebih besar daripada tool baru, dan ia baru berjalan sebulan.

Dalam sepekan, ada yang bisa diperdebatkan dan ada yang belum. Yang bisa diperdebatkan: apakah ini mengubah industri reverse engineering, dan apakah lisensi MIT yang terbuka benar-benar berarti apa yang orang kira. Yang belum: apakah keakuratan analisis agent akan cukup untuk dipercaya tanpa ditinjau manusia, dan apa yang terjadi pada hari pertama ketika ada yang memakainya untuk hal yang seharusnya tidak.

Pada Oktober 2026, REA masih proyek yang sangat baru. Umurnya satu minggu lebih, dan itu terlalu muda untuk disebut matang. Yang sudah jelas adalah arahnya. Reverse engineering yang dulu butuh berminggu-minggu kini bisa dilakukan dalam hitungan menit. Siapa pun yang punya binary sekarang bisa membacanya.