Stockholm Syndrome

проверять, если отправитель — бот, то ничего не делать

const BOT_ID = 1; // идентификатор бота
vk.updates.hear(/(.*)/, async (message) => {
  if (message.senderId === BOT_ID) return;
  // ...
});

response = response.replace(/§./g, '');

let users = [1, 2, 3, 4, 5]; // определённые пользователи

vk.updates.hear(/^(?:rcon)\s?([^]+)?/i, async (message) => {
  if (!users.includes(message.senderId))
    return; 

  await rcon.connect();

  const response = await rcon.send(`${message.$match[1]}`);

  return Promise.all([
    message.send(` Ответ от сервера:`),
    message.send(response),
    rcon.disconnect()
  ]);
});

vk.updates.hear(/(.*)/, async (context) => {

а грузить фотографию кто будет?)

в документации написано, что нужно отправить POST-запрос на этот upload_url c полем file, содержащим файл в формате multipart/form-data
после успешной загрузки сервер вернёт объект с полями server, photo и hash

messages.getHistory не работает от имени сообщества в беседах
используем Bots LongPoll API или Callback API

отправьте запрос методом photos.getById с extended=1
у каждой фотографии будет поле can_comment

добавьте в параметры запроса версию v=5.92
тогда придёт что-то такое

{
  "response": {
    "count": 3,
    "items": [5485951, 84317567, 997521] 
  }
}

где count — количество друзей

для того чтобы использовать VK.callMethod(), нужно подключать JavaScript SDK, а не Open API

после каждого ответа сервера обрабатываете данные и отправляете новый запрос

let zaprets1 = (message.$match[1] || '').toLowerCase();