OpenHack adalah MIT-licensed agent workflow dari Hadrian (Belanda) — bukan magic push-button pentest, tapi automation framework untuk human-guided, AI-assisted source code review. 12 expert agents, checkpointed state machine, kompatibel dengan Claude Code, Codex, dan Cursor. Python 3.9+. Experimental research prototype.

⚠️ Disclaimer resmi dari Hadrian: OpenHack adalah experimental research prototype, provided as-is tanpa warranty. Bukan security product, belum diaudit independen, dan tidak dimaksudkan sebagai dasar keputusan security production.

[ARCHITECTURE : STATE MACHINE AROUND FILES]

Durable state: Cloned source, recon items, scenario prompts, scenario results, finding candidates, triage decisions, findings, dan logs — semua disimpan sebagai plain files di workspace.

State machine: Satu command advances run ke state berikutnya. Agent menjawab prompt untuk state itu. Command recorder memvalidasi jawaban sebelum materialize work baru — ada gate di setiap transisi.

Human approval: Phase transitions butuh human approval — bukan fully autonomous. Long-running parts tetap item-by-item loops, bukan bulk analysis sekaligus.

Fan-out by evidence: Workflow melebar hanya kalau evidence mensyaratkan. Satu routing unit bisa fan out ke beberapa experts, satu scenario bisa emit beberapa finding candidates, tiap candidate dapat triage decision independen.

• Injection specialists: SQL injection, command injection, template injection, path traversal.
• Auth & access: Authentication bypass, broken access control, privilege escalation.
• Web-specific: XSS, CSRF, SSRF, open redirect.
• Crypto & config: Cryptographic misuse, insecure configuration.
• Logic & data: Business logic flaws, insecure deserialization.

💡 Key insight dari independent review: OpenHack bukan “push button, get pentest.” Dalam pengujian terhadap deliberately vulnerable Flask app, OpenHack menemukan real vulnerabilities dengan full evidence chains — tapi butuh operator yang paham cara baca dan guide hasilnya. Di tangan yang salah, ini noise machine. Di tangan yang tepat, ini force multiplier.

• Harness agnostic: Karena state disimpan di plain files dan prompts di-load dari file system, OpenHack bisa dijalankan oleh Claude Code, Codex CLI, Cursor, atau custom runner sendiri — nggak locked ke satu provider.
• Checkpointed workflow: Tiap state tersimpan ke disk sebelum lanjut — run bisa di-resume dari checkpoint manapun kalau harness crash atau timeout. Ini yang bikin long-running review bisa tetap jalan tanpa mulai dari nol.
• Evidence chain per finding: Tiap finding dikaitkan ke file path, fungsi, dan scenario result spesifik — bukan floating claim tanpa bukti.
• Independent triage: Finding candidate dan triage decision dipisah sebagai dua stage berbeda — ngurangin confirmation bias di mana model yang generate temuan juga yang mengevaluasinya.
• Semua ada di repo: CLI, agent prompts, expert manifests, file schemas, dan full documentation — bukan “open core” dengan bagian penting yang disembunyiin.

# Prerequisites: Python 3.9+, Claude Code atau Codex CLI (logged in)
git clone https://github.com/hadriansecurity/openhack.git
cd openhack
pip install -e .# Init workspace buat target repo
openhack init –source /path/to/target/repo –workspace ./my-review

# Jalanin recon — populate recon items
openhack recon –workspace ./my-review

# Route recon items ke expert agents
openhack route –workspace ./my-review

# Generate scenarios per routing unit
openhack scenario –workspace ./my-review

# Eksekusi scenarios (ini yang paling lama — harness yang jalan di sini)
openhack execute –workspace ./my-review

# Triage finding candidates
openhack triage –workspace ./my-review

# Lihat confirmed findings
openhack report –workspace ./my-review

⚠️ Cost awareness: OpenHack memanggil LLM di banyak stage — tiap scenario, tiap triage, tiap expert call burn tokens. Kalau lo pakai Claude Code atau Codex via API key berbayar, pantau usage-nya. Run terhadap repo besar bisa menghabiskan token budget yang signifikan.

[KONTEKS STRATEGIS]

Kenapa open-source? Kata Hadrian: “We’d rather hand defenders the same scaffolding we use internally than watch them re-derive it under pressure.” Ini juga positioning move — kalau metodologi sudah jadi commodity, differentiator Hadrian ada di platform, data, dan skala enterprise-nya.

Track record: Metodologi yang sama sudah menghasilkan ratusan CVE di software yang dipakai pemerintah Belanda — ini bukan marketing claim, ada disclosure public-nya.

Gartner recognition: Hadrian masuk sebagai Representative Vendor di Gartner Market Guide for Adversarial Exposure Validation (April 2026) — konteks penting buat validasi kredibilitas firm di belakang tool ini.

Roadmap: Belum ada public roadmap terpisah untuk OpenHack. Pengembangan kemungkinan mengikuti arah riset internal Hadrian — expert agents baru, harness support yang lebih luas, dan peningkatan triage accuracy.

💡 Positioning dalam seri ini: OpenHack dan Sandyaa punya overlap yang menarik — keduanya source-guided, LLM-assisted, dan generate evidence per finding. Perbedaan utamanya: Sandyaa lebih autonomous (jalanin PoC sendiri), OpenHack lebih checkpointed dan human-gated. Pilih sesuai risk appetite dan level kontrol yang lo butuhkan.

Source & Repo: github.com/hadriansecurity/openhack — MIT license, Python 3.9+.
Technical walkthrough: hadrian.io/blog