Oh My OpenCode & OMOP: Ketika AI Agent Harness Mengubah Cara Pentesting Modern

Perkembangan Artificial Intelligence (AI) di dunia keamanan siber bergerak sangat cepat. Kalau dulu penggunaan AI terbatas buat pembantu penulisan skrip sederhana atau sekadar tanya-jawab di chatbot, sekarang paradigmanya sudah bergeser ke arah AI Agent — sistem yang tidak cuma memberi jawaban teks, melainkan bisa mengeksekusi alat (tool execution), mengelola sesi, dan mengambil keputusan operasional di lingkungan lokal kamu.

Salah satu inovasi penting dalam lanskap ini adalah OpenCode dan engine spesialisnya, Oh My OpenCode / Oh My Open Pentest (OMOP). Mari kita bedah arsitektur dasar AI Agent Harness, cara kerjanya, hingga bagaimana platform ini mentransformasi alur kerja pengujian penetrasi (penetration testing).

Bagian 1: Memahami OpenCode sebagai Runtime Eksekusi Agent

Hal pertama yang wajib dipahami: OpenCode bukanlah plugin editor visual dan bukan sekadar chatbot. Istilah paling tepat untuk OpenCode adalah agent harness atau runtime eksekusi agent yang bersifat open-source (lisensi MIT), versi 2, dan berbasis terminal-first.

Harness Bukanlah Model

Sering kali orang tertukar antara "Model" dan "Harness". Padahal, fungsi keduanya terpisah secara mendasar:

• Model adalah Otak: Model bertugas melakukan pemrosesan logika dan analisis teoretis. Kamu bisa mengganti model kapan saja menggunakan lebih dari 75 provider API (BYOK — Bring Your Own Key) atau menggunakan model lokal via Ollama untuk data ultra-sensitif.
• OpenCode adalah Lengan, Izin, dan Runtime: OpenCode menyediakan infrastruktur fisik yang mencakup Session Manager (SM), Permission Manager (PM), Tool Executor (TE), Plugin Runtime (PR), dan MCP Connector (MC).

Karena harness terpisah dari model, mengganti model AI yang kamu pakai tidak akan menghilangkan muscle memory sistem. Seluruh konfigurasi, riwayat sesi, plugin, dan pola izin (permission pattern) yang sudah kamu buat tetap utuh dan siap dipakai.

Siklus Eksekusi dan Keamanan

Siklus kerja OpenCode berjalan secara terstruktur dari sumbernya:

Prompt -> Admit & Dedup (SQLite) -> SessionRunner.run() -> Model Call -> Tool Call (Lokal) -> Hasil -> Model (Iterasi berlanjut)

Ada dua prinsip penting dalam siklus eksekusi ini:

1. Tool Gagal adalah Input: Jika sebuah perintah tool menghasilkan pesan kesalahan (error), agent membaca kesalahan tersebut sebagai konteks untuk percobaan berikutnya (next-attempt). Agent akan mencoba pendekatan lain secara mandiri tanpa crash atau perlu restart sesi.
2. Prompt Baru adalah Steer: Kamu bisa membatalkan (cancel) proses di tengah jalan menggunakan fiber interrupt. Prompt baru yang kamu masukkan bertindak sebagai pengarah di tengah eksekusi, bukan memulai ulang proses dari awal.

Dari sisi keamanan data, state (sesi, snapshot, log) tersimpan 100 persen secara lokal di dalam basis data SQLite. Mengenai izin eksekusi, OpenCode menggunakan konfigurasi JSON berbasis pattern allow, ask, atau deny untuk setiap perintah. Karena OpenCode tidak menyertakan OS sandbox secara bawaan, penting bagi operator untuk menerapkan pola pemosisian izin yang ketat dan menggunakan infrastruktur terisolasi seperti Virtual Machine (VM) terpisah.

Bagian 2: Oh My Open Pentest (OMOP) sebagai Engine Pentest

Di atas OpenCode, terdapat plugin dan platform khusus bernama Oh My Open Pentest (OMOP). OMOP bukanlah sekadar kumpulan skrip acak, melainkan sebuah engine spesialis pengujian penetrasi terstruktur.

Engine ini membawa ekosistem teknis yang masif, terdiri dari 250 skill, 109 tools, dan 10 engagement modes. Kategori skill di dalam OMOP dievokasi layaknya perintah terminal, mulai dari pemetaan sasaran (/recon-full), pengujian celah web (/vuln-sqli), pengujian protokol jaringan (/proto-smb), hingga tahap pasca-eksploitasi (/post-windows-privesc).

Mekanisme Rantai Skill dan Tim Agent

Alur kerja pentesting di dalam OMOP tidak berjalan secara acak, melainkan melewati rantai skill (Skill Chain) dan koordinasi tim agent yang terorganisir:

1. Reconnaissance: pentest-recon melakukan pemetaan awal permukaan serangan.
2. Enumerasi: pentest-enum membedah detail layanan dan komponen target.
3. Eksploitasi: pentest-exploit menguji kerentanan berbasis bukti konkrit.
4. Pelaporan: pentest-report merangkum temuan teknis menjadi laporan utuh.

Di dalam tim agent, terdapat pembagian peran spesifik. Agent Talos membuat perencanaan (engagement plan), Argus bertindak sebagai eksekutor perintah, Cerberus mengorkestrasi alur kerja, dan Scylla melakukan analisis mendalam (deep-dive). Sebelum perintah pertama dijalankan di target, mekanisme hyperplan melibatkan lima kritikus adversarial untuk meretetas dan mereview rencana tindakan demi memastikan keamanan dan efisiensi. Operator tetap memegang kendali penuh melalui approval gate sebelum eksekusi berbahaya diizinkan.

Bagian 3: Empat Prinsip Produktivitas AI Agent Harness

Untuk memaksimalkan penggunaan agent harness secara efektif di lingkungan nyata, ada empat prinsip produktivitas yang terbukti di lapangan:

1. Pola Routing Model Berdasarkan Tugas

Kemampuan agent adalah kombinasi dari kekuatan model dan kelengkapan toolkit. Terapkan routing model yang proporsional:

• Gunakan model penalaran kuat (reasoning model) untuk analisis rantai eksploitasi kompleks (exploit-chain).
• Gunakan model berbiaya rendah untuk tugas pemindaian awal (bulk recon).
• Gunakan model berukuran kecil (small model) untuk tugas internal ringan seperti penamaan sesi.

2. Hierarki Konfigurasi Global

Lakukan pengaturan konfigurasi sekali saja di tingkat global ~/.config/opencode/opencode.jsonc yang mencakup plugin, Model Context Protocol (MCP), dan pola izin. Untuk proyek spesifik yang membutuhkan aturan berbeda, kamu cukup membuat konfigurasi per proyek di <project>/.opencode/opencode.jsonc yang hanya memuat parameter pembeda.

3. Sinergi Tiga Pilar: LSP, MCP, dan Approval Gate

Pengembangan dan analisis sistem paling efektif saat memanfaatkan tiga elemen yang saling melengkapi:

• Language Server Protocol (LSP): Memberi pemahaman kode mendalam (diagnostik, go-to-definition) tanpa perlu membaca seluruh isi repositori.
• Model Context Protocol (MCP): Menghubungkan agent ke alat eksternal seperti Burp Suite, Playwright, atau SIEM/Wazuh.
• Approval Gate (Question): Menjaga kontrol manusia (human-in-the-loop) sehingga agent tetap memiliki arah yang jelas dan berada dalam kendali operator.

4. Dokumentasi SOP Lewat AGENTS.md dan Custom Command

Hindari mengetik instruksi yang sama secara berulang-ulang di setiap sesi. Manfaatkan file AGENTS.md di dalam repositori proyek untuk mendefinisikan aturan main lokal, dan buat perintah khusus (custom command) di tingkat global. Dengan demikian, perintah sederhana seperti /pentest <target> dapat secara otomatis menjalankan empat fase pengujian lengkap dengan gerbang persetujuan yang terstruktur.

Ringkasan

Pemanfaatan AI dalam dunia pengujian penetrasi telah berevolusi dari sekadar generator teks menjadi sistem runtime yang terstruktur. Kombinasi antara OpenCode sebagai harness yang fleksibel dan OMOP sebagai engine pentest memberikan kontrol penuh, efisiensi tinggi, dan batas keamanan yang jelas bagi para praktisi siber. Produktivitas maksimal akan tercapai saat kamu berhasil memadukan pemilihan model yang tepat, konfigurasi global yang rapi, dan SOP yang terdokumentasi dengan baik.