REA爆火,一行命令复刻任何软件

黑 粉 科 技

过去一周，GitHub 上最离谱的曲线属于一个叫 REA 的项目。8 月到 9 月它的星标几乎是一条平线，进入 10 月突然垂直拉升：一周卷走约 10 万星，到我写稿时已经 27.5 万星、6.9 万 fork。

#REA 星标曲线：10 月前几乎平线，10 月初垂直拉升

把它推上热榜的不是安全圈，而是 AI 博主。因为 REA 干的事听起来像科幻：给你的 AI Agent 装上一行命令，它就能拆开微信、支付宝、Adobe 全家桶这样的闭源软件，告诉你某个功能是怎么实现的，还能照着给你重建一个。

这篇文章不写安装教程，也不实测——我把官方文档、社区案例和法律讨论翻了一遍，回答三个问题：REA 到底是什么、它真正改变了什么、以及为什么最兴奋的那批用法恰恰最危险。

先说最容易被误解的一点：REA 自己没有发明任何反编译技术。反编译这件事，Ghidra、IDA、Hopper、JADX 这些工具存在了很多年，拆软件在安全圈是门老手艺。

REA 的全名是 Reverse Engineer Anything，它真正的身份是一层 MCP 桥：让 Claude Code、Codex、Cursor、Gemini CLI 这些 AI Agent 通过统一的接口去调用那些老牌分析工具。安装就是一行 `npx rea-agents setup`，选择你要接入的 Agent，它展示要做的变更、备份原配置，确认后完成注册。

#REA 官方实拍：分析桥在 Hopper 里启动，正在检查一个原生二进制

以前想让 AI 帮你逆向，你得自己先是个会逆向的人：装好 IDA、配好插件、知道该问什么。现在门槛变成了一行命令和一个点头确认。REA 的技术不新，新的是用它的人。

它的工作模型是三步：反编译（从目标里恢复字符串、函数名、调用关系、伪代码这些线索）→ 理解（顺着证据追下去，解释一个功能真实的运行方式）→ 重建（Agent 根据理解，用正常的编辑和测试工具给你的项目写出实现）。关键设计是每一步都带证据：REA 返回的不只是结论，还有结论背后的函数、字符串和交叉引用，以及这条结论的局限。

#REA 官方原理图：提问 → 检查追踪 → 证据 → 解释实现测试

覆盖范围广得有点夸张：原生二进制、JavaScript/Electron 应用、.NET 程序集、Android APK、网站、固件、SQLite 数据库、pcap 抓包，甚至 Go 和 Rust 二进制里内嵌的依赖信息。官方给出的案例里，有把 90 年代 DOS 游戏 TH04 的 16 位弹幕角度计算恢复成 C++ 的，也有追踪 Notion 的 Electron 剪贴板桥的，还有把 DX-Ball 的声像计算重建到通过 3205 个原始 x86 用例的。

#REA 官方案例展示：DX-Ball 声像、Notion 剪贴板桥、TH04 弹幕角度

#REA 在 GitHub 的项目主页

如果故事只讲到「门槛降低」，这只是一篇普通的工具报道。真正值得展开的是它拆掉的东西。  先补一个法律常识。

拆开别人的软件学习研究，在大多数法域是有出路的：中国的《计算机软件保护条例》第十七条允许为学习研究设计思想而使用软件，2020 年修正的《著作权法》第五十条给「反向工程研究」留了门；美国 DMCA 的 1201(f) 给互操作逆向留了例外；欧盟更彻底，合同里禁止为互操作而反编译的条款一律无效。

版权保护的是代码怎么写，不保护功能本身——别人有个好用的搜索功能，你自己写一个效果相似的，单从版权看不违法。

#《著作权法》第五十条原文截图

麻烦出在「你是怎么写出来的」。软件行业为此发明了一套老办法，叫净室开发：一组人拆对方的产品，只写功能说明书；另一组从没看过对方代码的人，照着说明书从头写。两组人中间隔着一堵墙。这堵墙就是日后打官司时的证据——证明新代码是独立写出来的。  REA 把这堵墙拆了。

读反编译结果的是这个 Agent，写新代码的还是这个 Agent，「读」和「写」在同一个黑箱里闭环。你没法向法庭证明 AI 写代码的时候「没看着」反编译结果——大模型的内部过程本来就不可审计。Hacker News 上有人给这种做法起了个难听的绰号：洗知识产权。

那个用 AI 复刻 Adobe 七款软件的团队，明确禁止成员碰 Ghidra 和 REA，理由很直白：项目曝光度太高，怕直接招来官司。  游戏圈把争议推到了更极端的方向：字节级匹配反编译，重建出的源码编译后和原程序一个字节都不差。

净室追求的是「我没照着你写」，字节级匹配追求的恰恰是「写得和你一模一样」。10 月 6 日一个能在浏览器里玩 GTA 5 的网站上线几小时就被下架，Rockstar、Activision、Bethesda 的法务据报已经光速出动。

#0xProbabilitiy 推文：浏览器多人联机 GTA 5

这里要分清两件事：「拆开来分析」和「照着重建」，在法律上是两个动作。REA 的免责声明写着它服务于合法的研究、教育和分析，这些都有法条依据；但它同时把「重建」也写进了用途，而「重建」这个词在任何法条里都找不到对应的豁免。项目把责任交给了你。

#REA 官方免责声明截图

REA 的文档写明分析在本机运行，这句话本身没错——Ghidra、JADX 确实跑在你自己电脑上。但 Agent 要理解分析结果，就必须把反编译出来的代码片段、调用关系和字符串发给背后的模型服务商。你拆的那个软件的内部结构，就这样离开了你的设备。

如果你拆的是自己写的程序，没问题。如果拆的是客户交给你的软件、或者签过保密协议的东西，这一步本身就可能构成违约——和你有没有把结果公开无关。已经有博主在用 REA 拆剪映时遇到模型服务商的限制和卡顿，这算是一道护栏，只是拦在哪里、什么时候拦，由服务商说了算，标准不透明。

把这几方摆在一起看：项目说责任在用户，模型服务商说我们会拦但不告诉你拦的标准，被拆的软件公司手里握着用户协议和律师。美国 2003 年 Bowers 诉 Baystate 案已经判过，用户协议里的禁止逆向条款有效，逆向后做竞品的一方按违约赔了钱——也就是说你点过的那个「我已阅读并同意」，本身就可能是一堵墙。

真正站在风险正中间的，只有敲下那句「帮我逆向这个 App」的人。  所以我的判断分三层。适合放心用的场景：拆自己的软件找回丢失的实现、分析你拥有授权的代码、安全研究、学习别人的设计思路后独立实现功能——这些是逆向工程几十年来的正当用途，REA 只是让它们顺手了。

需要掂量的场景：拆商业软件后照着做功能，净室的墙没了，举证独立的难度你一个人扛。明确别碰的：逆向线上系统然后去访问抓取别人的服务器，这在国内对应的是刑法里的罪名，不是民事纠纷；以及把逆向出的代码资源直接改一改发布，这是标准的著作权侵权。

对做软件的人来说，这件事也是一记提醒。职业逆向工程师的建议很直接：只要程序跑在用户手里，就能被拆开，唯一稳妥的办法是把关键逻辑放到服务器上。REA 没有让拆软件变得可能——它一直可能——它让拆软件变得人人顺手。

#职业逆向工程师 Elias Bachaalany 评论截图

REA 值得装吗？对开发者和安全学习者，值得。MIT 协议、本机分析、证据链设计扎实，装法就是一行命令，静态 JavaScript 分析甚至不需要任何反编译引擎。

它把一门曾经需要多年功力的手艺变成了 Agent 的一次调查，这个方向本身是进步的。  但别被「逆向一切」这四个字带着走。工具把门槛降到了一行命令，法律的门槛一分钱没降。用它理解世界，别用它搬运别人的世界。  参考资料

- REA GitHub 仓库（morluto/rea，MIT）：https://github.com/morluto/rea  - 极客公园：一周 10 万星，AI「逆向一切」，但大家不要过于兴奋：https://www.geekpark.net/news/372263  - 36 氪：号称“逆向分析一切”，微信、支付宝、抖音等国民 App 都“惨遭毒手”：https://www.36kr.com/p/4019721614169733  - 与非网：AI 学会“逆向工程”，软件行业的天要塌了？：https://www.eefocus.com/article/2102097.html  - REA 星标历史曲线：https://star-history.com/#morluto/rea&Date  - 阿超博客：REA 使用记录：https://vampireachao.github.io/2026/10/06/rea/index.html

让AI成为你的超能力

黑粉科技 · 本地部署 · 免费白嫖 · 自制软件

hyphentech.top