ARTICLE · 1162965
两周见证一个行业松动:AI 拆软件的全过程
两周见证一个行业松动:AI 拆软件的全过程最近两周，我的 GitHub 首页就没正常过。 
先是游戏圈炸了：有人把整个《我的世界》塞进了《GTA5》，方块小人走在洛圣都的街头；有人把《滑板3》的物理引擎整个搬进《使命召唤》；更夸张的是，有人宣布用另一门编程语言，把一款主机游戏从头到尾重写了一遍。 然后是工具圈炸了：一个叫 REA 的开源项目，一周之内从 1500 颗星涨到 9 万多，今天我查的时候已经 111,500 颗，全球趋势榜第一。 最后，安全圈也炸了：安全公司 CrowdStrike 发报告，说有人用 AI 工具攻破了至少 7 家韩国银行。 这三件事其实是同一件事。这篇文章，我把它从头到尾讲清楚——它是什么、怎么来的、能干什么、边界在哪。全部素材我逐一核对来源，文中会明确标注哪些是我亲手验证的，哪些是社区报道。 一、先补课：源代码、二进制，和那道四十年没人拆动的墙 这部分有背景的朋友可以快进，没有的话，听完这一节就够用了。 软件公司开发产品，第一步是写代码，这就是源代码——人类能看懂的、带变量名和注释的"原始配方"。写完之后，机器会把它编译成二进制文件：这才是你在应用商店下载到的、电脑上双击运行的成品。 配方从来不随蛋糕一起卖。你买到的《GTA5》有几十个 G，但那里面没有一行源代码——只有编译后的机器指令，外加厂家故意加进去的"混淆"：把代码搅乱、加密、加壳，专门防你看懂。 
从成品反推配方，这个动作叫逆向工程。它是个快四十岁的合法老行当：八十年代 Compaq 靠"净室重写"合法复刻了 IBM 的 BIOS；安全研究员靠它找漏洞；游戏社区靠它让老游戏不随硬件一起消亡。工具也是现成的——美国国家安全局开源的 Ghidra、逆向工程师用了三十年的商业软件 IDA，都是干这个的。 但有难关了四十年：编译会把变量名、结构、注释全部丢掉，反编译出来的东西是一团乱麻。一个 N64 游戏，专业工程师完整反编译做了 596 天。 真正的壁垒从来不是"没人会拆"，而是"拆起来太慢、太贵、太需要功力"。 二、催化剂：一份藏在发布页里的成绩单 转折点出现在几周前。OpenAI 发布 GPT-6 Astra 时，官方页面里藏着一个不起眼的基准测试，叫 SRE-Bench——专门衡量一件事：从二进制文件里，把软件逆向出来的真实能力。 GPT-6 Astra 的成绩：四次尝试，成功率 99.2%，总共花费 82 美元。刚才我们说什么来着？专业工程师啃几个月都费劲的事，现在一个模型，99%。而随后发布的 Claude Opus 5.5，社区实测表现还要更好。 也就是说：反推配方这堵墙，被 AI 拆了。所有专有软件——不只是游戏，理论上还包括 Photoshop、Office、任何闭源产品——都可能被 AI 破解和克隆。开个玩笑：如果你手里有 SaaS 公司的股票，现在大概是卖出的好时机了。 三、主角：一周 74 倍的 REA 把"专家级拆解能力"交到普通人手上的，是一个叫 REA（Reverse Engineer Anything，逆向一切）的项目。 先交代数据来源：以下数字是我用 GitHub 官方接口亲手查的。这个仓库 2026 年 4 月创建，前半年不温不火，10 月 4 日 1500 颗星，一周之内冲过 9 万，10 月 12 日上午我查到的实时数字是 111,500 颗，24,800 次 fork，MIT 协议，霸榜 GitHub 全球趋势第一。到后期不是放缓，是加速——单日新增近 2 万星。 
它是什么？注意，它本身不是反编译器，也不是大模型，它是一个"转接头"：装一条命令，你的 AI 助手——Claude Code、Codex、Cursor 这些——就多了两件专业装备：可以指挥 Ghidra 和 IDA，去拆开任何没有源码的软件。原生程序、Electron 应用、.NET 程序集、安卓 APK、固件、网站，都在射程内。 它的工作方式是三步：官方叫反编译、追踪、重建，说人话就是——拆开（把机器码还原成能看懂的样子）、追问（顺着运行路线把某个功能彻底搞懂）、复刻（照着理解写一个自己的版本）。 效果看官方案例：一款 DOS 时代老游戏里负责声音声道的函数，AI 重建的代码通过了 3205 项针对原始机器码的测试，编译结果和原版一个字节不差。此外它还完整搞明白了 Notion 复制粘贴功能的实现链路。 三条边界，项目自己写得明明白白：不能还原原始源代码（名字和注释永远回不来）、不能一键克隆整个应用、每条结论必须附带证据和局限性说明。作者 morluto 也不是什么黑客，是正经的智能体方向研究者，做 REA 的初衷就是"给 AI 造工具"。 它拆掉的是门槛，不是变出了魔法。但门槛这东西，一旦拆掉，就装不回去了。 四、三种玩法：从"搭桥"到"拆家" 这套能力落到游戏圈，演化出三种玩法，难度递增。 LV1，透传模组。不重写游戏，让 AI 建一层"桥"把两款游戏连起来：你在《我的世界》里放个 TNT，《地铁跑酷》的世界里同位置爆炸；蜘蛛侠直接进蝙蝠侠的世界。最简单，局限也最大——要同时运行两款游戏，像胶带粘的，物理经常穿帮。 
LV2，整体重写。把游戏整个交给 AI：先用逆向工具搞清动画、地图、机制，再用另一门语言从头写。现在流行用 Rust，因为 AI 写这门语言写得特别好。衍生玩法更疯——平台移植：PC 游戏进 VR 头显，PS5 游戏跑上 PC。 LV3，只移植单个机制。不搬整个游戏，只"复制粘贴"一段物理、一套动作：《镜之边缘》的跑酷进《上古卷轴5》，据说一天做完；《滑板3》的特技物理，进了《使命召唤》和《魔兽世界》。对游戏设计师来说，这是价值最大的玩法——从任何游戏提取零件，拼进自己的新作。 
支撑这些玩法的工具箱也是现成的：Universal Model 管混搭，REA 管全能拆解，Ghidra 和 IDA 的 AI 接口管深度反编译，.NET、Unity、安卓各有专用工具。全部免费放在 GitHub 上，把仓库链接发给 AI 助手就能用。 提示词怎么写？没有魔法提示词。原话是："我想要这个游戏的某个功能，研究它怎么实现的，给我证据，在我的项目里做一个。"就这么直白。唯一要记住的是流程最后一步：AI 给出结论后，看一眼它附的证据和说明——哪些是确定的、哪些只是猜测。这步别跳过。 五、冲击波：从游戏圈到韩国银行 火很快烧出了游戏圈，几件事按时间排一下。 国内引爆：大 V 宝玉介绍 REA 的第二天，就用它逆向了 Anthropic 家 Claude Slides 的编辑器，自述复刻出"几乎完整功能"——拆的还是厂家故意打乱过的商业代码。 国民 App"遭殃"：微信、支付宝、抖音这几天已经被社区用 REA 逆向分析了个遍。听着吓人，但先别慌——原因第四节讲。 反编译提速：据报道，有工程师借 AI 把一个 N64 游戏的完整反编译从 596 天压到 84 天，7 倍。另有开发者基于 99.7% 反编译的代码库，25 天完成了《任天堂明星大乱斗》的 PC 移植版（不含任天堂资产，需自备 ROM）。 Adobe 被重写：社区流传有开发者用 AI 辅助、Rust 重写了 Photoshop 的开源替代，一周拿下 6000+ 星，支持 PSD 读写。 
恐惧改变商业模式：4 万星开源项目 Cal.com，因为"AI 让开源代码太危险"，宣布从开源许可转回专有许可。 
然后是那件让安全圈真正紧张的事。 上个月底，韩国出大事了。据 CrowdStrike 报告：有人用开源渗透测试工具 ARTEX 配合大模型，攻破了至少 7 家韩国金融机构，约 6.8 万人数据泄露，仅新韩银行一家就有约 2.5 万客户受影响。最值得琢磨的细节：据报告，作案的人可能根本不是资深黑客——一个算不上高手的人，加上 AI，干成了专业团队才敢想的事。开发者 10 月 8 日以"被滥用"为由把 ARTEX 下架了，但代码早已传开，下架没用。 更讽刺的细节是：据报告，此人让 Claude 帮自己写一份"安全研究员简历"，把攻击战果直接列在了提示词里——用 AI 作案，又用 AI 自曝（身份信息未经证实，CrowdStrike 也只给了中度信心）。 REA 和 ARTEX 的关系，一句话说清：REA 负责动手前搞清楚软件怎么运作，ARTEX 负责动手本身——踩点和撬门，AI 全包了。开源工具最无奈的地方就在这：作者是好心的，但你永远管不了，拿到工具的会是什么人。 六、三盆冷水 热闹看完，泼三盆冷水。这也是我和大多数"炸裂体"文章的区别。 一，数据有水分吗？9 万星配 2 万多 fork，比例反常，社区"刷星"质疑一直没停。热度是真的，数字要打折听。 二，演示案例有多难？官方最亮的案例是 DOS 时代的小体量游戏；宝玉拆的 Claude Slides 虽然是混淆过的现代商业代码，但千万行级的商业软件，依然是另一个量级。工具在飞速进步是真的，"AI 一键破解一切"是假的。 三，法律跟得上吗？技术门槛降了，法律门槛一点没降。《著作权法》允许为学习研究目的逆向合法取得的软件；但把逆向结果改改就发布，是侵犯著作权；碰线上系统、抓服务器数据，是刑法范畴。研究和学习的大门开着，牟利和攻击的大门焊死了。 还有那几个国民 App，真的不用替它们担心：支付风控、账户体系、推荐算法、社交关系链，全在服务器上，REA 只能拆你手机里的安装包，碰不到云端。客户端还有混淆、加壳、反调试、风控 SDK 好几道防线。微信为什么不怕？它真正的护城河根本不是代码——是你通讯录里那两百个人。 七、我的判断 第一，门槛这件事，回不去了。以前拆一个软件拼十年功力，现在拼算力钱。以前这行的入门题是"你能不能看懂汇编"，现在的问题是"你舍不舍得花算力钱"。 第二，做产品的，把账分开算。装在用户设备上的东西，默认都会被看穿，几天就会被抄走。搬不走的只有四样：你攒下的数据、你的用户关系、你迭代的速度、你有多懂用户的问题。微信不怕，不是因为代码保密——是你通讯录里那两百个人。功能会被复制，懂用户的速度复制不了。 第三，想学逆向的，现在就是最好的时候。以前这一行劝退率极高：入门第一课是汇编，大部分人第一周就走了。现在 AI 把翻译好的代码摆在你面前，你要干的只剩判断——判断哪些是它真搞懂了，哪些是它猜的。工具把门槛拆了，但没把"脑子"拆了。会用工具的人会越来越多，会判断的人，永远值钱。 逆向工程这碗饭，人吃了四十年。AI 没有发明新的吃法，它只是把门槛从"二十年功力"降到了"一条命令"。 蛋糕还是那个蛋糕。但从今往后，人人都可能知道你的食谱。 如果你是软件公司的老板——加固城墙，还是换个活法？评论区聊聊。 数据说明：REA 星数、fork 数、发布与迭代时间为作者通过 GitHub 官方接口实时查询（截至 2026-10-12）；SRE-Bench、雪板小子、大乱斗移植、Cal.com、ARTEX 等案例来自公开报道与社区帖，文中已标注"据报道"；本文仅作技术现象分析，不构成任何逆向工程操作指导。