Dunia keamanan siber terus berkembang, dan kini hadir sebuah kerangka kerja baru yang siap mengubah permainan. Perkenalkan, **T3MP3ST Security Framework**, sebuah platform open-source yang dirancang untuk mengubah agen AI coding umum, seperti Claude Code, OpenAI’s Codex, atau Hermes, menjadi operator red-teaming otonom yang mampu berburu bug 0-day. Menariknya, ini bisa dilakukan tanpa perlu API key baru, infrastruktur cloud tambahan, atau biaya ekstra.

Dibuat oleh peneliti elder-plinius, T3MP3ST bertindak sebagai lapisan orkestrasi multi-agen. Ini berarti T3MP3ST tidak membawa model AI-nya sendiri, melainkan mengoordinasikan berbagai instansi agen melalui rantai pembunuhan keamanan, mulai dari pengintaian (reconnaissance) hingga eksploitasi dan pelaporan.

## Apa Itu T3MP3ST?

Bayangkan agen AI yang sudah kamu jalankan di mesinmu kini memiliki gudang senjata lengkap. Kamu cukup mengarahkan kerangka kerja ini ke target yang telah diizinkan melalui antarmuka "War Room" berbasis web atau CLI. Agen AI yang kamu miliki menjadi otak operasional yang menggerakkan misi tersebut.

Kerangka kerja ini disebut "keyless warfare" karena memanfaatkan sesi agen yang sudah ada, bukan menuntut kunci penyedia terpisah. T3MP3ST juga menerapkan "egress-scope containment", yang berarti alat-alat jaringan secara otomatis menolak menyentuh host publik di luar cakupan misi. Ini adalah fitur keamanan penting untuk memastikan operasi tetap dalam batas yang diizinkan.

## Fitur Utama T3MP3ST: Otonom dan Aman

T3MP3ST dirancang dengan arsitektur 8 operator yang memetakan fase-fase rantai pembunuhan ke taktik MITRE ATT&CK dan Cyber Kill Chain. Operator-operator ini meliputi:

| Operator     | Fase             | MITRE ATT&CK | Fungsi                                   |
| :----------- | :--------------- | :----------- | :--------------------------------------- |
| **Recon**    | Reconnaissance   | TA0043       | OSINT, penemuan jaringan, enumerasi aset |
| **Scanner**  | Discovery        | TA0007       | Pemindaian kerentanan, fingerprinting    |
| **Exploiter**| Initial Access   | TA0001       | Eksploitasi, pengiriman payload          |
| **Infiltrator**| Lateral Movement | TA0008       | Pasca-eksploitasi, eskalasi hak istimewa |
| **Exfiltrator**| Collection / Exfil | TA0009/10    | Ekstraksi data, pengumpulan kredensial  |
| **Ghost**    | Persistence      | TA0003       | Persistensi, penyembunyian, pembersihan  |
| **Coordinator**| Command & Control | TA0011       | Kontrol misi, orkestrasi                |
| **Analyst**  | Analysis         | ,             | Analisis pola, pelaporan                |

Saat ini, mesin **Recon** dan loop eksploitasi agen tunggal sudah stabil dan teruji. Sementara itu, operator-operator hilir seperti Exploiter dan Infiltrator masih dalam tahap eksperimental. Mereka menjalankan loop penalaran berbasis alat yang sama seperti Recon, namun eksploitasi swarm yang terkoordinasi secara end-to-end belum divalidasi pada skala besar.

T3MP3ST hadir dengan 35 alat bawaan secara default, dan bisa ditingkatkan menjadi 83 alat dengan opsi `T3MP3ST_FULL_ARSENAL`. Alat-alat yang lebih "berbahaya", seperti Metasploit atau Hydra, diletakkan di balik gerbang persetujuan manusia.

## Performa T3MP3ST: Bukti yang Reproduktif

Salah satu kekuatan T3MP3ST adalah penekanannya pada reproduktifitas. Setiap klaim kinerja yang disebutkan dalam dokumentasinya dapat dihitung ulang dari data yang dikomit dengan satu perintah, `npm run verify-claims`. Ini memastikan bahwa tidak ada angka yang hanya "dipercaya", melainkan dapat diverifikasi secara independen.

Berikut adalah beberapa hasil benchmark yang dicapai oleh T3MP3ST:

| Suite Benchmark                        | Hasil Utama                                                                       | Konteks                                                                                                                                                                                                                                                                                                 |
| :------------------------------------- | :-------------------------------------------------------------------------------- | :------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| **XBEN** (XBOW’s 104-challenge suite, black-box) | 90.1% pass@1 (gpt-5.5)                                                            | XBOW sendiri melaporkan 85% pada suite yang sama. Penilaian dilakukan terhadap oracle flag yang dikomit, bukan laporan mandiri.                                                                                                                                                                                  |
| **Cybench** (40-task academic benchmark) | 23/40 (58%) hint-free, single-run pass@1 (Opus 4.8)                              | Ini bukan rekor skor mentah (Anthropic mencatat 76.5% pass@10), namun setiap flag dinilai terhadap oracle yang dikomit.                                                                                                                                                                                     |
| **CVE-Zero** (10 CVE nyata 2026, held-out, 7 bahasa) | Agen tunggal mengidentifikasi 8 dari 10 kerentanan dengan file, baris, dan klasifikasi CWE yang tepat, serta menemukan semua 10 kerentanan secara keseluruhan. | Kerentanan ini ditemukan setelah batas waktu pelatihan model (post-cutoff), yang berarti bukan hasil memorisasi. Ini adalah sampel kecil, namun menunjukkan kemampuan framework dalam menemukan bug baru.                                                                                                |

Penting untuk dicatat, hasil ini diperoleh dari loop ReAct agen tunggal, bukan dari swarm 8 operator yang terkoordinasi. Swarm ini masih merupakan bagian dari arsitektur kerangka kerja yang terus dikembangkan, dan eksploitasi swarm secara langsung masih dianggap tidak dapat diandalkan pada skala besar.

## Berbagai Target yang Dapat Diburu

T3MP3ST memiliki cakupan yang luas untuk berbagai jenis target:

| Domain                   | Yang Dicakup                                      | Status                                             |
| :----------------------- | :------------------------------------------------ | :------------------------------------------------- |
| **Aplikasi Web**         | Aplikasi, API, alur otentikasi, OWASP Top 10      | ✅ Stabil (XBEN 90.1% pass@1)                         |
| **CTF**                  | Wargame, rentang latihan, tantangan              | ✅ Terbukti (Cybench 23/40)                           |
| **Kode Sumber**          | Audit kode sumber white-box, perburuan vuln SAST | ✅ Terbukti (CVE-Zero: 8/10 file/baris/CWE tepat) ⚠️ Mesin ingest masih eksperimental |
| **Robotics / OT / Embedded** | Firmware, robotika, OSS ICS/SCADA                | ✅ Pipeline pengungkapan terkoordinasi hidup        |
| **Jaringan / Infrastruktur** | Recon, fingerprinting layanan/tumpukan          | ✅ Recon stabil · ⚠️ Lateral/privesc eksperimental |
| **Rantai Pasokan**       | Audit dependensi, instalasi tanpa konfirmasi     | ⚠️ Nyata (menemukan CWE-829 pada set yang dipegang) |
| **Kontrak Cerdas**       | DeFi, Solidity                                    | ⚠️ Eksperimental (reproduksi, bukan penemuan baru) |
| **Cloud** (AWS/GCP/Azure) | Misconfig, IAM, serverless                       | 🚧 Dalam pengembangan                              |
| **Mobile** (Android/iOS) | Keamanan aplikasi                                | 🚧 Dalam pengembangan                              |
| **Identitas / AD**       | Kerberos, pass-the-hash, serangan AD             | 🚧 Dalam pengembangan                              |
| **Binary / RE**          | Overflow, ROP, pengembangan eksploitasi          | 🚧 Dalam pengembangan (membutuhkan alat khusus)    |

## Bagaimana T3MP3ST Beroperasi?

Untuk memulai T3MP3ST, prosesnya cukup sederhana dan tidak memerlukan konfigurasi yang rumit. Kamu bisa menjalankan War Room dalam hitungan menit:

```bash
npm install
npm run server
# War Room akan tersedia di → http://127.0.0.1:3333/ui/
```

Setelah War Room berjalan, kamu bisa membuka Settings di antarmuka web dan menghubungkan agen lokal yang sudah ada, seperti Claude Code, Codex, atau Hermes. Kemudian, deskripsikan targetmu kepada Op Admiral dalam bahasa Inggris biasa dan luncurkan misinya. Agen yang kamu hubungkan akan menjadi otaknya.

Jika kamu lebih suka menggunakan API key, kamu bisa mengatur variabel lingkungan:

```bash
export OPENROUTER_API_KEY=...
# atau VENICE_API_KEY / ANTHROPIC_API_KEY / OPENAI_API_KEY
```

T3MP3ST juga mendukung model yang dijalankan sepenuhnya secara offline, tanpa kunci atau cloud, seperti Ollama atau server OpenAI-kompatibel lainnya (LM Studio, vLLM):

```bash
ollama serve && ollama pull llama3
# atau server OpenAI-compatible lainnya
export TEMPEST_LOCAL_BASE_URL=http://localhost:11434/api
# LM Studio: http://localhost:1234/v1
export TEMPEST_LOCAL_MODEL=llama3
npx tempest config
# → "Change default provider" → local
```

Fitur pemanggilan alat berfungsi pada model lokal mana pun karena digerakkan melalui teks, sehingga Arsenal tetap berjalan meskipun model tidak memiliki fungsi pemanggilan bawaan. Untuk memverifikasi klaim performa, kamu cukup menjalankan:

```bash
npm run verify-claims
```

## Pentingnya Penggunaan yang Bertanggung Jawab

Pengembang **T3MP3ST Security Framework** menekankan bahwa alat ini dirilis secara ketat untuk pengujian, penelitian, dan pendidikan yang diizinkan. Ini dilisensikan di bawah AGPL-3.0 tanpa jaminan apa pun. Penggunaan tanpa izin terhadap sistem tanpa izin tertulis yang jelas adalah ilegal di sebagian besar yurisdiksi. Tanggung jawab untuk tetap berada dalam batas hukum dan aturan keterlibatan sepenuhnya ada pada operator. Selalu pastikan kamu memiliki izin sebelum menggunakan alat ini.

## Referensi
*   https://cybersecuritynews.com/t3mp3st-security-framework/
*   https://github.com/elder-plinius/T3MP3ST

T3MP3ST Security Framework adalah kerangka kerja keamanan open-source yang mengubah agen AI menjadi pemburu bug 0-day otonom tanpa memerlukan API key baru. Kerangka kerja ini menggunakan AI coding agent yang sudah ada untuk mengkoordinasikan operasi red-teaming dari recon hingga eksploitasi.

T3MP3ST Security Framework: Mengubah Agen AI Jadi Pemburu Celah Keamanan Otonom

Reggi

Solusi praktis integrasi webmail custom ke dalam dashboard Gmail. Kelola, baca, dan kirim email domain pribadi langsung dari satu tempat tanpa ribet gonta-ganti tab.

Mengapa Kamu Masih Buka Dua Tab Terpisah? Panduan Setup Custom Webmail Langsung di Dashboard Gmail

Pelajari efisiensi merakit mesin tetas telur listrik AC otomatis dengan modal murah untuk mendongkrak hasil ternak unggas tanpa repot bolak-balik telur manual.

Otomasi Ternak Unggas: Kenapa Rakit Sendiri Mesin Penetas Telur AC Jauh Lebih Worth It Dibanding Cara Konvensional?

Pelajari bagaimana mesin tetas telur berbasis arus listrik DC bekerja menjaga suhu dan kelembapan ideal untuk mendongkrak keberhasilan penetasan telur unggas.

Mesin Tetas Telur Arus DC: Solusi Hardware Murah Buat Tingkatin Angka Penetasan Unggas

Kupas tuntas seluk-beluk mobil aki anak dengan kontrol ganda dan fitur multimedia. Pahami batas spesifikasi hardware sebelum eksekusi build sendiri.

EV Versi Mini: Membedah Mobil Listrik Aki Lengkap dengan Remote Control dan Fitur Multimedia

Pelajari cara merakit smart power strip berbasis NodeMCU dan Blynk untuk kontrol daya nirkabel serta integrasi IoT yang aman dan efisien.

Mengapa Beli Mahal Kalau Bisa Bikin Sendiri? Rancang Smart Power Strip Berbasis NodeMCU dan Blynk

Solusi tuntas mengatasi bug sistem dan software bermasalah di MacBook dengan panduan install ulang macOS lewat Internet Recovery secara aman.

#vulnerability-research

Getting Lastest Post..

Populer Bulan Ini