ARTICLE · 1196761
一个教AI拆别人软件的GitHub 项目一周涨了 20 多万颗星,它为什么这么火
往下看，是一句很直白的广告词：在别人的 App 里看到一个你想要的功能？让你的 AI 代理去调查它。它可以在没有源代码的情况下检查这个 App，解释这个功能怎么实现，给出证据，再为你的项目做一个类似的版本。
安装只要一条命令。
按一篇专门核查 REA 的报道统计：10 月 6 日，这个项目在 GitHub 上还不到 1 万颗星；到 10 月 14 日，已经超过 23 万颗，被复制了 5.8 万多次。我 10 月 16 日打开项目页时，星数已经是 28 万，被复制了 7 万多次。GitHub 上的「星」，相当于收藏加点赞。一个开源项目能拿到几千颗星，已经算很受欢迎。
REA 在 GitHub 上的星数曲线：10 月之前几乎是一条平线，进入 10 月后几乎垂直上升 · 图表：star-history.com，2026 年 10 月 16 日生成
REA 的 GitHub 项目页，顶部显示约 28 万颗星、7.07 万次复制，下方注明 MIT 许可 · 截图：GitHub morluto/rea
一个教 AI「拆别人软件」的工具，为什么能在一周里，被二十多万人收藏？
我的看法是，它火的原因，不在技术有多新，在它把三件事放到了一起：一句谁都听得懂的广告词，一门原本只有少数专家会的手艺，以及一个所有软件公司都不太愿意被问的问题：如果别人几天就能看懂你的产品是怎么做的，你靠什么收钱？
REA 自己没有发明反向工程，它做的是「接线」：把 Claude Code、Codex 这类 AI 编程代理，接到 Ghidra、IDA 这些专业的反编译工具上，让 AI 替人去读那些人读起来很痛苦的机器码。
它火，一半是因为门槛降了，一半是因为那句广告词：「看到喜欢的功能，照着做一个」。这句话，同时戳中了开发者的兴奋，和软件公司的焦虑。
40 年前，IBM PC 的兼容机，就是靠类似的办法做出来的。那一次，被拆的那家公司，后来慢慢失去了对个人电脑标准的主导。
先说清楚它是什么。
按官方说明，REA 是一个 MCP 服务器。MCP 是一种让 AI 代理调用外部工具的接口，可以理解为一个转接头。装上 REA 之后，你在 Claude Code、Codex、Cursor、Gemini CLI 这些 AI 编程工具里，就可以直接让 AI 去检查一个现成的软件：原生的程序文件、用 JavaScript 和 Electron 写的桌面应用、.NET 程序，还有网站。
真正干活的，是已经存在多年的专业工具：Ghidra、IDA、Hopper。REA 负责把它们和 AI 连起来，分析在你自己的电脑上运行，结论后面附上证据，也写明局限。
REA 官网首页：大标题是「搞清楚软件是怎么工作的」，右边是安装用的一条命令 · 截图：rea.tools，2026 年 10 月 16 日
它不能做的事，同样要说清楚。它拿不到原来的源代码。它给出的是伪代码、汇编、模块之间的关系，也就是「这个软件大概是这样组织的、这一段大概在算什么」。从这些东西，到一个能用的产品，中间还隔着很长的路。
官方主页上展示了三个案例：拆解一款老游戏 DX-Ball 里的音效声像计算；追踪 Notion 桌面版里剪贴板的数据通道；从一款 PC-98 时代的日本弹幕游戏里，还原一段子弹排成圆环的计算。
这三个例子，两个是几十年前的游戏，一个是今天很多人每天在用的商业软件。
你吃到一道好吃的菜，没有菜谱。以前要请一位老厨师，尝很多遍，才能大概说出放了什么、怎么做。现在有了一台机器，能把这道菜拆成成分表和大致的步骤。它说不出厨师心里的那份原始菜谱，但足够你回家做个八九不离十。
大多数开发工具的介绍，都写得很技术：支持什么格式，接了什么接口，性能提升多少。
REA 的第一句话不一样：「看到一个 App 里你喜欢的功能？搞清楚它是怎么做的，一直到二进制层面。」紧接着是：「为你的项目做一个类似的版本。」
这句话的听众，不只是安全研究员。产品经理看得懂，独立开发者看得懂，创业公司的老板也看得懂。它说的不是「我能做反向工程」，而是「你想要别人的哪个功能，我帮你搞到手」。
这也是它争议最大的地方。同一份说明的最后，作者写了很长一段声明：REA 只用于合法的研究、教育、互操作、软件保存，以及分析你自己拥有或者获得授权的软件；用到的商业工具必须合法购买，不能用破解版。
前面的广告词，和后面的免责声明，指向的是两种很不一样的用法。二十多万颗星里，有多少人是冲着后面那段来的，没人知道。
一家锁匠培训班，招生广告写「看到喜欢的锁，学会怎么打开它」，报名表最后一行小字写「仅限开自家的锁」。报名的人会很多，原因也会很复杂。
反向工程本身，一点都不新。
美国国家安全局在 2019 年把自己内部用的反编译工具 Ghidra 免费公开了。商业工具 IDA，在安全行业里用了几十年。分析病毒、找漏洞、让老软件在新电脑上继续跑，这些工作一直有人在做。
但这是一门很难的手艺。机器码是给 CPU 读的，不是给人读的。一个熟练的反向工程师，要懂汇编、懂操作系统、懂编译器的习惯，还要有足够的耐心，一行一行地猜。全世界真正能做好这件事的人，并不多。
REA 官方说明里的示意图：在反编译工具 Hopper 里打开一个程序，看到的就是这样一屏屏的地址和指令 · 图片：REA 项目文档（MIT 许可），via GitHub
REA 改变的，是谁能做这件事。AI 代理读机器码不嫌累，可以一口气跑几个小时，把结论整理成人能读懂的话。原来要一位专家花几周的事，现在一个普通开发者，打一句需求，就能拿到一份初步的分析。
门槛一降，人群就变了。以前关心反向工程的，是几万个安全研究员；现在关心的，是几百万个用 AI 写代码的开发者。二十多万颗星，大概就是这个人群变化的一个信号。这一句是我的判断。
人一多，麻烦也来了。项目火了之后，有人复制了它的介绍页，加了一个所谓的「Windows 安装包」，里面是恶意程序。官方现在在说明的最显眼处提醒：只从三个官方渠道下载。一个教人拆软件的工具，自己先被人仿冒了。
以前修手表要去找老师傅，全城没几个。现在出了一个视频教程加一套工具，人人都能拆开看看。会拆的人一多，手表厂就得重新想，自己的手艺还剩多少是别人学不走的。
要理解这件事为什么让软件公司紧张，得回到 1980 年代初。
1981 年，IBM 推出了个人电脑 IBM PC。它用的大多是市面上买得到的零件，唯一真正握在 IBM 手里的，是一段叫 BIOS 的底层程序，负责让软件和硬件对话。谁想做一台能跑 IBM PC 软件的电脑，就得有一份兼容的 BIOS，而 IBM 的那份受版权保护，不能照抄。
IBM PC，瑞士洛桑 Bolo 博物馆藏
办法是「净室设计」。一组工程师研究 IBM 的 BIOS，只写下它「做了什么」，不写代码；另一组从没见过 IBM 代码的程序员，只照着这份功能说明，从零写一份新的。这样写出来的东西，功能一样，代码是自己的，版权上站得住。
Compaq 先用这个办法，做出了自己的兼容 BIOS。随后，一家叫 Phoenix 的公司在 1983 年到 1984 年间，用同样的办法写出了一份兼容 BIOS，并在 1984 年 7 月宣布对外授权。从那以后，任何一家电脑厂商，都可以买一份 Phoenix 的 BIOS，做自己的「IBM 兼容机」。
Compaq Portable，早期的 IBM 兼容机之一，同馆藏
后来的故事很多人知道：兼容机越来越多，越来越便宜，个人电脑的标准，慢慢不再由 IBM 一家说了算。这是一个常见的历史评价，背后还有很多别的原因，但那份被「拆」开的 BIOS，是其中关键的一环。
当年那份 BIOS，是两组工程师，花了一年多拆出来的。今天，REA 想做的，是让一个人加一个 AI 代理，在一个下午里，完成其中「搞清楚它做了什么」的那一半。
一家餐厅的招牌菜，被另一家请人尝了一年，写出口味说明，再交给没吃过这道菜的厨师照着做。味道差不多，菜谱是自己写的。那家招牌餐厅没有被抄袭，却从此不再是唯一能做这道菜的地方。
和 REA 差不多同时火起来的，还有另一个项目，叫 ArtCraft。一位叫 Brandon Thomas 的开发者，用 Claude 和 Rust 语言，做了一整套常用软件的替代品：对标 Word 的、对标 Excel 的、对标 PPT 的、对标 Photoshop 的。
按他自己的测评，对标 Word 的那一款，和 Word 的实际功能对等度大约是 62%；对标 PPT 的那款，功能覆盖了 79%，但真正能拿来用的程度，只有 55%。
这些数字说明，仿出一个「样子差不多」的软件，已经不难；仿出一个「真正能替代」的软件，还很难。剩下的那三四成，恰恰是一家软件公司几十年积累下来的细节。
但软件公司担心的，可能不是被一模一样地抄走。KDnuggets 的一篇评论说得很直接：对 Adobe 和微软真正的威胁，不是又多了一个免费的替代品，而是一个看起来熟悉、核心功能都有、让用户找不到理由继续付钱的软件。
很多软件的生意，是按年收订阅费。用户一年年续费，一部分原因是离不开，一部分原因是换起来麻烦：界面要重新学，文件格式不兼容，同事都在用。当 AI 能帮人搞清楚一个软件的每个功能是怎么做的，「换起来麻烦」这道墙，就会变薄。
这不是说微软明年就会被拆垮。它说的是，一家软件公司收钱的理由，要从「只有我做得出来」，慢慢变成「我做得最好、服务最稳、更新最快」。前一种是锁，后一种是手艺。这一句是我的判断。
小区里只有一家超市的时候，东西贵一点大家也只能买。旁边开了一家货差不多的新店，老超市不会马上倒闭，但它得开始想：顾客为什么还要来我这儿。
这条新闻，最容易被讲歪成两种样子。
第一种：「AI 能把任何软件的源代码偷出来了。」不对。REA 拿不到源代码，它给出的是伪代码、汇编和结构关系，是一份「推测出来的说明书」，不是原版的设计图。从这份说明书到一个能卖的产品，还有大量的工作要人来做。
第二种：「有了这个工具，照着别人的软件做一个就合法了。」也不对。很多软件的用户协议明确禁止反向工程；在美国，绕过软件的技术保护措施，可能违反《数字千年版权法》第 1201 条；净室设计能防住版权指控，防不住专利。REA 自己的声明，也只允许用在合法和获得授权的场景。
还有一处要打折扣：标题里的「一周涨了 20 多万颗星」。「10 月 6 日不到 1 万、10 月 14 日 23 万」来自一篇媒体报道的统计，另一家媒体给出的是「大约 4 天 13.4 万颗」，两家数字有出入。我能自己核实的，是 10 月 16 日项目页上的 28 万颗星，以及 star-history.com 画出的那条曲线：10 月之前几乎为零，10 月之后陡然上升。「一周涨了 20 多万」这个量级，和曲线是一致的。
第一刀，最致命：星不等于用户。点一颗星只要一秒钟，很多人是「先收藏，以后看」。二十多万颗星里，真正装上、真正拿它拆过东西的，可能只是一小部分。我用星数来说明「人群变了」，本身就有夸大的风险。
第二刀：我没有亲手测试 REA。它在真实的商业软件上到底能拆到什么程度，我只能依靠官方案例和别人的测评。官方挑出来展示的，必然是效果好的例子。
第三刀：拿 IBM 兼容机来类比，可能过头了。当年的 BIOS 是一段相对短小的程序，今天的 Word、Photoshop，是几千万行代码、几十年迭代的产物。能拆开一个功能，和能复制一整套产品，中间差着好几个数量级。
第四刀：「软件公司的护城河变薄」这个判断，还没有任何数据支持。到今天为止，我没看到哪家大软件公司，因为 AI 仿制品掉了用户。也许用户愿意付钱的理由，从来就不只是「别人做不出来」。
第五刀：我把 REA 写成了「钱和产品」的故事，但它在安全行业里，首先是一个分析病毒、找漏洞的工具。对防守的一方，它可能是好消息。只讲它对软件生意的冲击，是片面的。
反过来说，我坚持的部分只有一条：当「看懂一个软件是怎么做的」从专家的手艺变成一条命令，软件公司就得重新回答，用户为什么要付钱给它。这个问题不会因为 REA 冷下去而消失。这一条，上面五刀都反驳不掉。
回到那句广告词：「看到一个你想要的功能？」
40 年前，回答这个问题，需要两组工程师、一年多的时间、一套精心设计的法律流程。今天，REA 想把它变成一条命令。
它最后会成为一个好用的安全工具，还是一个让软件公司头疼的「仿制机」，要看用它的人。但有一件事已经变了：软件的秘密，比过去更容易被看见了。
— James
本文仅为信息分享，不构成任何投资或法律建议。文中提及的项目与公司均来自公开信息，不代表对相关公司或个人的评价。反向工程的合法性因地区和具体情况而异，请在合法、获授权的范围内使用相关工具。
给做软件产品的创业者：别把护城河押在「别人看不懂我是怎么做的」上。数据、服务、更新速度、用户习惯，这些比代码更难被拆走。
给看软件赛道的投资人：看一家订阅制软件公司，多问一句：如果明天出现一个功能覆盖六成、免费的仿制品，它的续费率会掉多少？
给读者：想试 REA，只从官方渠道下载；想拆别人的软件之前，先看看它的用户协议。好奇心是好事，但别让它变成别人的病毒入口，或者你的法律麻烦。
REA 官方说明（GitHub morluto/rea，2026 年 10 月 16 日读取）：全名 Reverse Engineer Anything；定位为面向二进制、应用和运行时行为的反向工程 MCP；「看到喜欢的功能、让代理调查并为你的项目做类似版本」的介绍；支持原生二进制、JavaScript/Electron、.NET、网站；可调用 Hopper、Ghidra、IDA；一条 npx 命令安装；支持 Claude Code、Codex、Cursor、Gemini CLI 等；本地运行、结论附证据与局限；DX-Ball、Notion、TH04 三个示范案例；只从官方渠道下载的提醒；仅用于合法与获授权用途、商业工具须合法授权的声明；MIT 许可。REA 不还原源代码、只给伪代码汇编与结构（Pasquale Pillitteri 核查报道等）。仿冒安装包传播恶意程序（Pillitteri，官方提醒印证）。ArtCraft 由 Brandon Thomas 用 Claude 和 Rust 开发，WordCraft 约 62% 实际功能对等，DeckCraft 功能广度 79%、实用就绪度 55%（KDnuggets 2026 年 10 月 12 日）。IBM PC 1981 年发布；Compaq 先做出合法净室 BIOS；Phoenix 1983 至 1984 年用净室法写出兼容 BIOS，1984 年 7 月宣布授权；净室设计可防版权、不能防专利（维基百科 Clean-room design、historyofinformation.com）。
星数：10 月 6 日不到 1 万、10 月 14 日约 23.4 万星、5.85 万次复制（Pillitteri 单一来源）；KDnuggets 称约 4 天 13.4 万星；作者 10 月 16 日打开项目页核到约 28 万星、7.07 万次复制，star-history.com 曲线印证 10 月陡增。NSA 2019 年公开 Ghidra、美国 DMCA 第 1201 条：公开常识性信息，未逐条核对原始文件。
REA 官方介绍、免责声明与 KDnuggets 评论，均为中文意译，非逐字引文。
「REA 火的原因是门槛下降与广告词」「关心反向工程的人群从安全研究员扩大到 AI 开发者」「当年 BIOS 两组人一年多、今天一人一下午」「软件公司收钱的理由要从锁变成手艺」等判断，以及各节通俗解读、两种误读的总结、五刀泼冷水与「我坚持的只有一条」、三句话，均为作者判断，非信源直接陈述。
欢迎加入讨论群
