REA三天狂揽12万星,＂软件完蛋了＂刷屏:代码在贬值,理解在升值

三天，12 万颗星。

一个大多数人此前没听过的开源项目，把一句"软件完蛋了"顶上了科技圈的热搜。它叫 REA，全称"Reverse Engineer Anything"——逆向工程一切。用大白话说就是：不给源码，也能把别人的软件拆开、看懂，再复刻一份。

这个项目在网上到底有多火，看一眼仓库页就有数：

GitHub 的数字最直接。截至 10 月 12 日，仓库页面显示 12 万颗星。作为对照，年初那个掀起"全民养龙虾"热潮、被称作增长奇迹的 OpenClaw，爆发第三天累计新增是 6 万颗。REA 把这个纪录又翻了一倍。

把它的增长曲线画出来，是一条几乎垂直的线：

REA 不是一个凭空冒出来的炫技玩具。它是一个用 TypeScript 写的开源工具，MIT 许可，核心只做一件事：在 AI 编程助手和传统逆向工具之间架一层调度。你让 Claude Code、Cursor、Codex 去分析一个没有源码的软件，它背后通过 MCP 协议调起 Ghidra、Hopper、IDA 这些"老家伙"，一步步把二进制拆开。

它真跑起来是什么样？下面这一幕，是 REA 在 Hopper 里分析一份原生二进制的实拍：

有意思的是，它调用的工具一点都不新。Ghidra 2019 年才开源，Hopper 的历史能追到 2011 年，IDA 更是从上世纪 90 年代就被逆向工程师用到现在。REA 真正的创新不在工具，而在"指挥"——把过去要人手动串联、啃 API、在一堆符号和字符串里翻找的活儿，接进了 AI 的工作流。它能拆的东西也不止一类：原生应用（Mach-O、ELF、PE 和 macOS 的 .app 包）、APK/IPA/ASAR 之类的程序包、Electron 和 JavaScript 应用、.NET 程序；甚至能比较同一个软件的两个版本，自动生成一份变更报告。有网友打趣说，这就像"给 Claude Code 配了一个反编译器"。

REA 究竟怎么干活？把它的分析回路拆开，画面是这样的：

大模型进逆向，也不是一天的事。早在 2022 年，纽约大学和卡尔加里大学就发过一篇论文，测 Codex 能不能辅助逆向——那时的 AI 还只是个需要你手动复制粘贴的"阅读理解外挂"。后来技术分成两路：一路像南科大开源的 LLM4Decompile，想让机器码直接翻译成 C 源码；另一路就是 REA 这种"Agent 自动化"，给 AI 装上"手和眼睛"，让它自己提取符号、追调用链、生成能落地的代码。

真正让人后背一凉的，是今年 4 月的一批实测。一位资深安全人员用 Agent 搭配 Ghidra，从普通游戏一路拆到了银行级 App。游戏基本不在话下：Cocos2d 游戏靠纯静态分析就能认出加密算法、反推出 key；Unity 游戏靠观察密文特征猜出注释格式、反推出 XOR key。真正意外的是银行 App——多层加壳、混淆、反注入、反调试、root 检测、模拟器检测一整套防护，被 AI 一层层绕过，最后在 root 过的模拟器上打开并抓到了请求内容。

他用的工具只是 Cursor 配 Claude，prompt 简单到只有一句"这个文件夹里有个 apk，把它逆向还原成源码"。一个 App 平均 30 分钟，按计费不到 5 美元；试的那个 Unity 游戏花了 4000 万 token，约 27 美元。平均一次，30 美元上下。他事后感叹："那时候我才意识到，我才是 AI 的限制器。"

行业里的反应，比项目本身更耐人寻味：

Replit 的 CEO 直接发推："AI 驱动的逆向工程和反编译领域正在发生的事简直不可思议。很快，所有软件都可能事实上变成开源软件。"网友的反应更直接：订阅制"该消失"、"贪得无厌"、"软件这下算彻底完蛋了"；有人实测后反馈，"拿剪映和几个项目试了试，确实底裤都没了"。

过去四十年，软件生意有一部分就建立在"源码不可得"这个前提上：我写代码，编译成二进制，你拿不到，所以你买我的。REA 动摇的正是这块地基。一个延续了半个世纪的"闭源护城河"神话，第一次被逼到台前问一句——拿不到源码，还能挡住谁？

克隆潮其实已经来了。有网友注意到，最近几天 YouTube 上突然冒出大量"商业软件 Vibe Code 克隆版"的视频，从 Adobe 到 Microsoft Office 的旗舰产品应有尽有：Photoshop、Illustrator、After Effects、Office 套件的克隆版都有人做，某些方面甚至做得更好。也有开发者说，这套东西更实用的场景是"拯救没有源码的老软件和老库"——Agent 能调 Ghidra、Hopper 去读伪代码和汇编，把一段早就没人维护的算法精准还原出来。眼下受冲击的是小团队和独立开发者，但 Adobe 体量的公司一样在名单上。

但把"软件完蛋了"直接当结论，可能下得太早。

技术专家徐昊的说法很克制：克隆能拿走的是代码，拿不走的是知识。"软件本身不是产品，软件中的知识才是。"你就算把二进制还原成一份看起来完整的功能实现，它为什么这么设计、业务规则是什么、哪些是刻意为之、哪些是历史包袱——这层东西 AI 抄不走，它才是软件真正值钱的部分。

出海营销平台的联合创始人阎志涛也不同意"末日论"：从做出类似功能，到客户愿意付钱、到能长期服务好客户，中间有很多事，拿到代码并不能替你完成。"如果源码一旦可以获得，软件生意就无法继续，那开源软件的商业模式早就该不存在了。"

这话不是空谈。以 Red Hat 为例，它的代码大家本来就下载得到，企业还是愿意付钱买订阅——买的不是代码，是生产环境支持、生命周期管理、补丁和更新、技术支持。企业真正掏钱买的，从来都超出了下载一份代码。

所以更准确的判断是：护城河没有消失，它只是从"你看不到我的代码"，挪到了"你拿不走我的服务能力和业务理解"。

所以 REA 真正值得被记下的，可能不只是"三天 12 万星"这个数字，而是它把一件过去只有少数逆向工程师能做、还做得费劲的事，变成了一个普通开发者也能上手的工作流。

这对你我意味着什么？与其担心"我的东西被克隆"，不如先想清楚你真正在卖什么：是那几万行代码，还是代码背后别人抄不走的行业判断、业务规则和长期服务。一个小团队最该守住的，从来不是源码的不可得，而是客户为什么离不开你。

回到最开始那个问题：软件真的完蛋了吗？

如果说的是"靠别人看不见的代码就能收租"的那个软件，它确实在被重写；但如果说的是"把 know-how 沉淀成产品、把服务做成壁垒"的那个软件，它的好时候才刚刚开始。REA 没有抹掉软件的价值，它只是把一张贴了半个世纪的价格表重新贴了一遍：

代码在贬值，理解在升值；实现难度在贬值，业务洞察与长期服务在升值。

如果你也看懂了「软件完蛋了」背后真正在贬值的到底是什么，点个『在看』把它转给还在焦虑被克隆的朋友；关注晚屿漫集，暮色里我们把热点背后的逻辑一层层拆开。