REA 三天冲上 GitHub 热榜第一,Adobe 全家桶被人一夜"一锅端"。 这篇文章不是教你逆向,而是想讲清楚:为什么过去 20 年靠"代码看不懂"垒起来的那堵墙,正在被 AI 一块一块拆掉。

最近两天,你的 GitHub 热榜第一名,大概率是同一个项目。

REA——Reverse Engineer Anything,逆向一切。

我盯着那个数字看了好久:21 万 Star,5 万多 Fork,而且还在以每天 2 万多的速度往上爬。一个 MIT 协议的逆向工具,火成这个量级,在我见过的开源项目里,几乎是头一回。

热榜上有个细节我印象很深:这个仓库 4 月份首发的时候,Star 还是个位数。10 月 7 号发 v4.1 那波,上线 24 小时,光这一天就涨了近 3000 颗星。到了这周,数字直接破 18 万。

它不是那种"看一眼就收藏"的玩具项目。3 个月,发版 30 多次,Issue 区里全是真在跑、真在用的开发者。

一个搞逆向的工具,能火到这种程度,背后只有一个原因——

它把一件过去只有老手才干得了的事,变成了一句人话。

先说清楚,REA 自己不发明反编译器。

它干的事,是把 Ghidra、Hopper、IDA、JADX、pwntools 这些老牌逆向工具,通过 MCP 和命令行接口,接进 Claude Code、Codex、Cursor 这些 AI 编程助手的手里。

一句话,把"调工具"这件体力活,交给 Agent 自己跑。

你只需要说:

用 REA 检查 Windows 计算器,为什么 200 + 10% 会得到 220?

然后 Agent 会自己去读你本机装着的计算器程序,把 % 按钮的处理函数扒出来,告诉你:跟在加减后面,它把第二个数当成第一个数的百分比;跟在乘除后面,就直接除以一百。

证据、局限、哪些地方它没搞明白,全给你列得明明白白。

这件事过去是什么概念?你要自己开反汇编器,一行一行追汇编,没有几年逆向底子,根本玩不转。现在,这些重复步骤交给 Agent 去跑了。

它解决的,是一个"复制粘贴地狱"。

以前的流程长这样:开 Ghidra 反编译 → 导出一大坨伪代码 → 复制粘贴进对话框 → 祈祷模型能看懂 → 每追问一次,重复一遍 1 到 4。

逆向分析被搞成了文书活,而不是工程。

REA 干的就一句话:让 Agent 自己去看证据、自己给结论、自己顺着往下追。

官方放了好几个案例,我挑两个最硬核的说说。

第一个,是小恐龙游戏。 就是 Chrome 断网跳出来那个。REA 把页面里真正在跑的那个脚本捞出来,读出速度规则:起步 6,每次更新加 0.001,封顶 13,然后照着这个规则,重写了一个带速度滑块的小游戏。

第二个,是 DX-Ball,一个九十年代的老游戏。 有人用 REA 去还原它砖头被击中时的声道计算——就是声音偏左还是偏右的那个值。最后还原出来的 C 函数,过了 3205 个行为对比用例,用当年的编译器重新编译,出来的 63 个字节和原程序一模一样。

但这个项目最让我上头的,不是它有多能拆,而是它的态度。

README 里写得很直白:REA 不保证能恢复原始源码,反编译出来的是伪代码,跟人家当年写的源码是两回事。能确定的明说确定,确定不了的,直接标"未知",宁可停下来问你用哪个引擎,也不瞎猜。

有媒体专门算过它的工具目录——134 个 Agent 工具,12 类目标覆盖。官方还专门强调了安全边界:它"不会杀掉一个它无法证明自己拥有权限的进程"。

一个能把"未知"当一等公民来呈现的逆向工具,在 AI 圈子里,其实挺罕见的。

REA 爆火只是表象。真正让我睡不着的,是它背后那条时间线。

一周之内,有四件独立的事,同时发生了。

第一件:REA 单日涨了 2.5 万颗星。

第二件:X 上,前 X 产品负责人 Nikita Bier 发了一条推,宣称"每一个游戏、每一款软件,都会被个性化成最适合你的版本",100 万浏览。

第三件:AI 驱动的游戏反编译,霸榜了 Reddit 和 YouTube。《超级马里奥64》的完整反编译,过去一群玩家干了两年;最近一个 N64 项目,84 天就搞完了。

第四件:有一家安全厂商,专门发了一款新产品,就干一件事——防御 AI 辅助逆向。

四件独立的事,在一个星期里指向同一个地方。这不是巧合,这是一个相变。

而相变的起点,是一个叫 Brandon Thomas 的人,做了一件很搞的事。

事情是这样的:Thomas 是 ArtCraft 背后的开发者,十几年 Rust 老兵,被 Adobe 的"取消费用"套路坑了不止一次。

Adobe 说是按月付,但实际是你得承诺订阅一整年,提前退订就要交违约金。

他给我逼急了,于是用 Claude Opus 5.5,把 Adobe 的 7 款软件全部用 Rust 重写了一遍,免费开源:

PhotoCraft、VectorCraft、FilmCraft、LightCraft、EffectCraft、DesignCraft、PrintCraft——对应的是 Photoshop、Illustrator、Premiere、Lightroom、After Effects、InDesign、Acrobat。

Adobe 全家桶,被人一锅端了。

不到 10 天,光 PhotoCraft 这一个项目,就有 4 万 6 的 Star。Thomas 在 Hacker News 上说的原话是:

"Software is over. But for real. I just one-shotted Photoshop. The whole thing."

软件时代结束了。说真的。我一把干掉了 Photoshop,整个。

当然,得说句公道话:这些"平替"现在还是个超早期 Alpha,带智能对象的 PSD 打开会出问题,操作偏慢,一个月达 100% 功能对等这句豪言,后来自己也跳票成了"以月为单位"。

但"能重写"这件事本身,比"重写得多完美"更重要。 因为门,已经被踹开了。

把 REA 和 Adobe 这两件事放一起看,你会发现一件很朴素的事:

过去 20 年,大量商业软件的秘密,本质上来自一个假设——"别人看不懂我的代码"。

或者换个说法:别人重新实现你,要付出的成本,比你买你贵得多,所以你才安全。

编译器把你的"计算用户余额"、"验证支付密码",变成了一堆 MOV、JMP 和内存地址。没有逆向工程师几年苦功,没人能反推回去。于是这堵墙就立住了。

但现在,AI 把逆向成本打下来了。

只要 AI 能读到你的代码、你的产品,你的东西,在事实层面上就已经是开源的了。厂商再靠"协议不公开"去限制第三方接入,会越来越难——有人已经把苹果的 AirDrop 搬到了 Linux 上,有人把家里空调的协议逆向了,遥控器都不要了。

开源世界的老 OG Eric S. Raymond 说得很直白:几乎所有软件,都将失去"保密"这道护城河。

我同意。而且我觉得,真正值钱的,不再只是"做出一个软件",而是把能力做成一个能被 Agent 直接调用、能持续交付结果的节点。 软件的形态,正在从"你打开它、学它、按它的规矩办",变成"你一句话,它交付结果"。

写到这儿,必须泼盆冷水。

所有人都觉得"AI 让软件更容易被复制"是大好事,我同意——知识向普通人开放,这本身就有意义。

但有个更狠的问题,没人愿意正面回答:

当复制一个好产品越来越便宜,创造第一个好产品的成本,到底该由谁来扛?

你判断用户要什么、你探索对的产品形态、你经历无数次失败、你承担市场不接受你的风险,好不容易做出一个市场买单的东西。可对不起,这是 AI 时代了。

可能只需要 3 天,你的开源版本,就已经满天飞了。

创造者能独享收益的时间,会被越压越短。

这个问题没有标准答案。我不想装先知。但作为这些年一直在做产品的人,我越来越相信一件事——当产品、方法论都能被低成本复制,真正能护住你的,就只剩下一个东西:注意力。

你能获得多少这个世界长期、正向、有价值的注意力,你才能垒起多高的护城河。

那个答案,其实 9 年前就藏在 Transformer 那篇论文的标题里了——《Attention Is All You Need》。

我得说句实话:我绝不是鼓励你拿 REA 去逆向后来的大厂 App。

逆向工程有复杂的法律边界。未经授权直接复制别人的受版权代码、甚至公开传播,就可能侵权。IDA、Hopper、JEB 这些商业引擎,你该自己合法持有授权就持有。工具本身不拦着你干什么,真拆了不该拆的东西,麻烦是自己的。

但有一点是确定的:这个变化,比大多数人以为的要快得多,不是五年十年以后的事,可能就是这一两年。

15 年前,当 Marc Andreessen 写下"软件正在吞噬世界"的时候,柯达还在卖胶卷,诺基亚还在做塞班。他们不是不知道变化在发生,他们只是觉得自己还有时间。

他们没有。

现在,轮到"看不懂代码"这堵墙了。我真心希望,这一次,我们别犯同样的错。

搞清楚下一页,到底写的是什么。

以上，既然看到这里了，如果觉得不错，随手点个赞、在看、转发三连吧，如果想第一时间收到推送，也可以给我个星标⭐～谢谢你看我的文章，我们，下次再见。

/ 作者: 亿智扬AI

开源地址:https://github.com/morluto/rea · https://rea.tools