ARTICLE · 1196605
3天暴涨9万星:这个让AI拆任何软件的开源项目,外网已经吵疯了
这两天，外网科技圈被一句话刷屏了：
"REA is the most dangerous thing on the internet right now."
（REA 是现在互联网上最危险的东西。）
发这条的博主不算大V，却拿了 3300 多个赞，177 万人看过。
点进他说的项目，GitHub 上一个叫 REA（Reverse Engineer Anything，逆向工程一切）的开源工具，数据吓人：
今年 4 月才创建，前半年不温不火 10 月初突然引爆：3 天，star 从 3 万冲到 12 万，单日新增 2.5 万 我写这篇时：27.8 万星，7 万 fork MIT 协议，完全免费 什么概念？去年最火的 Claude 技能仓库 superpowers，一整年攒到 30 万星，已经是现象级。REA 用半年就摸到了同一个量级。
它是干嘛的：一句话
让 AI 拆开任何一个软件，告诉你它是怎么工作的——不需要源码。
你每天用的 App，在手机和电脑上跑的时候，是一堆编译好的二进制。人类想看懂它，得靠逆向工程师，拿着 IDA、Ghidra 这种专业工具，一行行啃汇编。搞明白一个功能的原理，啃一周很正常。
REA 干的事，就是把这整套专业工具箱，塞进你的 AI 编程助手（Claude Code、Codex、Cursor 都支持）里。
然后你只需要说一句人话：
"看看 Notion 的复制粘贴是怎么实现的，讲给我听，顺便给我自己的项目做一个。"
AI 就自己去拆了。
官方案例，一个比一个上头
别觉得"逆向"离你很远。看几个官方实战案例：
1. 验证码为什么每 30 秒变一次？
Aegis 是个开源两步验证器，就是登录时输 6 位数字那种。REA 拆了它的安卓安装包，把 6 位码的生成算法完整挖了出来——还把演示时钟拨快，验证了"为什么正好 30 秒一变"。
2. 1996 年的老游戏，音效算法复原
DX-Ball，一个 30 年前的 Windows 打砖块游戏。REA 从它的可执行文件里，把音效声像（左右声道怎么分配）的计算逻辑还原成一段 C 代码——和原版编译出的 63 个字节逐一比对，全对上。
3. 东方 Project 的弹幕是怎么瞄准你的
拆 PC-98 上的东方旧作 TH04，把"环形弹幕瞄准玩家"的角度算法，从 16 位汇编还原成了能看懂的 C++。游戏考古爱好者的狂喜。
4. Notion 复制文本时，背后发生了什么
拆 Notion 的打包代码，顺着它的 IPC 调用链一路追到系统剪贴板——原来你每次复制，它都塞了一个 HTML 标记进去，用来保住富文本块的数据。
CTF 选手还拿它解了一道 DownUnderCTF 的 flag 验证题。
我自己试了：把本机的 Notion 拆了一把
光看案例不过瘾，我在自己电脑上跑了一遍。
Mac 上的 Notion，核心代码都在一个 13MB 的 app.asar 包里。REA 不挑环境，有 Node.js 就行：
npx -y rea-agents@latest analyze-javascript-application \ "/Applications/Notion.app/Contents/Resources/app.asar" --json 第一遍跑，它直接罢工了。
报错说：包里有个原生模块的哈希值，和清单里声明的不一致——"打包工具经常在写完包之后改写原生二进制"——所以拒绝继续，让我确认情况后加参数重跑。
这个小插曲我盯了半天。哈希对不上就停，不装懂，不硬跑。这工具的脾气是：证据优先。
加参数重跑，两分钟出结果：
3709 个节点、11285 条边的调用图 识别出 20 个暴露给网页端的 API、279 个方法 26 个 IPC 操作、10 个主进程 handler，谁连谁全画出来了 98 个 JS 文件、235 万个 AST 节点，0 个解析失败 最后附了 184 条"局限"——老老实实列出哪些文件因为资源预算没分析完、哪些结论没验证到
注意最后一条。多数工具恨不得吹自己全知全能，它反过来，先交代自己哪里没做到。
想上手的话
一条命令：
npx rea-agents setup 它会列出支持的 AI 工具——Claude Code、Codex、Cursor、Gemini CLI、Grok Build——你勾选、确认改动、重启助手，就装好了。原有配置会自动备份。
两个门槛，提前说清：
网页、Electron 应用这类分析，开箱即用，什么都不用额外装； 原生二进制（.exe、安卓 APK）要接专业引擎——Hopper、Ghidra 或 IDA，装过哪个用哪个；都没有的话，setup 可以帮你装 Hopper。
装完跑一句 rea doctor，环境缺什么、怎么补，一条条列给你。
它的命令列表长得像小型武器库目录：拆 APK、抓网页 bundle、提取固件、GDB 调试、安卓投屏……都有。
火成这样，不是没有原因
外网上有人拿它逆向 TradingView，宣称"高级指标免费用了"——这个用法别学，后面说。
更多人拿它干的其实是正经事：
- 看中别人 App 的一个功能
让 AI 拆明白原理，自己复刻一个。学习实现思路，这是软件行业几十年的传统
- 安全研究
这软件到底往哪发数据、有没有后门
- 智能家居
厂商 App 难用？拆了它，摸清设备通信协议，自己写个顺手的。已经有人这么玩空调、热水器了
- CTF 比赛
老游戏考古、给没文档的老系统补文档
以前这些是逆向专家的护城河：门槛是 IDA 许可证加十年汇编功夫。
现在门槛变成：会不会把需求说清楚。
这才是它 3 天涨 9 万星的真正原因——不是技术多新，而是把一门手艺的价格打到了地板上。外网已经有人写了万字中文教程，标题就叫四个字：逆向平权。
三个避坑提醒
1. 山寨仓库已经出现了。 REA 火了之后，GitHub 上冒出仿冒仓库，名字相似、README 照抄，几天就攒了几百星。官方被迫在 README 里加防伪声明。认准三个官方渠道：GitHub 的 morluto/rea、官网 rea.tools、npm 包 rea-agents。
2. 别拿它破解付费软件。 那个"免费解锁 TradingView 高级指标"的帖子，一堆人叫好。但破解他人付费授权，在哪都是违法的。学习原理、安全研究、互操作兼容，才是这个工具的正道。
3. 它不是一键万事通。 大应用一次分析是"部分覆盖"——我那次就带回来 184 条局限——深度结论要跟着 AI 多轮追问；原生二进制还得配 Ghidra/IDA。把它理解成"让 AI 长出逆向之手"的框架，而不是魔法。
最后
工具地址，收好：
GitHub：github.com/morluto/rea 官网：rea.tools（20 种语言文档，有简体中文） npm：rea-agents
我的感觉是：这类"AI + 专业工具箱"的项目，正在一个接一个地把软件行业的手艺民主化。上一个这么干的是 Copilot，革的是"写代码"的命。
这次轮到"读代码"了——哪怕这代码，从来没人给过你。
你敢让它拆你电脑上的哪个软件？评论区聊聊。
