ARTICLE · 1248394
一个 MCP 拆穿所有 App,38 万星不是白来的
一个 MCP 拆穿所有 App,38 万星不是白来的🦐 虾酱鉴宝 2026年10月25日 · 开源好物甄选 🦐 各位虾粉周日好～本周开源圈又出了什么好货？虾酱替你上眼 👇 ① 一个 MCP 让 Agent 帮你拆 App，从界面一路摸到二进制 morluto/rea（TypeScript）：给你的 AI 装一整套逆向工程工具箱，二进制、Electron、.NET、网站都能拆。本周新增 78562 star（总 380354 star）。🦐 虾酱说：逆向工程说白了就是「看着别人的成品，倒推他怎么做的」。以前这活靠 IDA 手搓汇编，门槛高得像让你徒手拆炸弹；这玩意把工具打包成一个 MCP，你用大白话问 Agent「这个功能到底咋实现的」，它自己去翻二进制、翻 JS 包，最后把证据和结论一起摆你面前。适合谁：想复刻竞品功能的前端和客户端、做安全评估的同学、以及被某个 App 的骚操作气到想搞明白原理的极客。谁别碰：想拿它抄闭源商业代码去卖的——分析过程留证据链，法务不傻。虾说不瞎说，本地跑、样本不外传，这一点比一堆在线沙箱靠谱得多。一周涨 7.8 万星，说明大家心里都憋着同一句话：这玩意到底是怎么做到的？ 🦐 仓库地址：https://github.com/morluto/rea 
② 写几行 HTML，直接渲染成一支 MP4 heygen-com/hyperframes（TypeScript）：把 HTML、CSS 和动画渲染成 MP4，命令行和 Agent 可调。本周新增 5633 star（总 71657 star）。🦐 虾酱说：以前做程序化视频，要么学那一套 React 组件，要么上剪辑软件拉时间轴。这个项目思路很朴素：网页你总会写吧？把每一帧当成一个网页状态，渲染一遍再逐帧压成视频——所见即所得，还不用装剪辑软件。适合批量出短视频、做数据可视化动画、给 AI 生成内容加一层确定性渲染管线的团队。个人 up 主慎入：它不解决创意，只解决批量出片；你要是不会 HTML/CSS，等于又报了一门语言课。虾说不瞎说，值钱的是「确定性」三个字——同样输入，出的片一帧不抖、不随机。视频这行的护城河，正在从「会剪」变成「会写」。 🦐 仓库地址：https://github.com/heygen-com/hyperframes 
③ 换个 AI 写代码，它还记得你上次卡在哪 akitaonrails/ai-memory（Rust）：给各家 AI 编程 CLI 做共享长期记忆和任务交接。本周新增 3541 star（总 13346 star）。🦐 虾酱说：你肯定干过这事：Claude Code 写到一半额度没了，换 Codex 接着写，然后花十分钟把项目架构、试过的坑、没解决的问题重新讲一遍。这工具就是一张「交接班记录」——上下文存成共享记忆，新 Agent 一进来先看交接单，知道自己从哪接手。重度多开 Agent 的人是真需要，尤其是同时在 Claude、Codex、Cursor 之间横跳的。轻度用户别折腾，装服务端、配目录的功夫，不如你直接复制粘贴两段话。虾说不瞎说，它最大的价值不是「记得多」，而是「换工具不掉链子」，把记忆从厂商手里拿回来。以后的核心竞争力，不是你会用哪个模型，是你有一套谁也别想绑死你的记忆。 🦐 仓库地址：https://github.com/akitaonrails/ai-memory ④ 把整个项目画成一张图，让 Agent 别再瞎 grep Graphify-Labs/graphify（Python）：把代码、文档、SQL、PDF 解析成可查询的知识图谱，代码部分纯本地 AST。本周新增 6868 star（总 134610 star）。🦐 虾酱说：在大项目里找一个函数，像在没门牌的城市里问路，Agent 只能一个文件夹一个文件夹地 grep。graphify 先给这座城画张地铁图：谁调用谁、哪块连哪块全标出来；每条连线还注明「这是代码里明写的」还是「这是我猜的」，不糊弄你。适合接手屎山的新人、要给老项目补文档的人、以及天天被 Agent 烧 token 的团队。它不用向量库、不搞 embedding，代码解析本地确定性完成，账算得清。你项目就三个文件就別上这套了，杀鸡用牛刀。虾说不瞎说，先给地图再让它干活，比裸奔着 grep 省钱。让 AI 读懂代码的正确姿势，是先递地图，不是让它闭眼乱翻。 🦐 仓库地址：https://github.com/Graphify-Labs/graphify ⑤ 给任何软件套一层 CLI，让 Agent 直接上手 HKUDS/CLI-Anything（Python）：把各类软件包成 Agent 能调用的命令行，配套 CLI-Hub 一键安装。本周新增 3069 star（总 56905 star）。🦐 虾酱说：Agent 想操作软件，最尴尬的是很多软件只有图形界面，它没法点鼠标（点了也不稳）。这个项目的思路是给每个软件配一个「遥控器」，也就是 CLI——Agent 按命令操作，人也能用，相当于给全屋家电统一发一个万能遥控。适合想把自家工具接进 Agent 工作流的开发者，以及要做批量自动化的运维。坑也明显：社区贡献的 CLI 质量参差，装之前先看清它到底封了哪些命令，别把生产环境交出去。虾说不瞎说，方向绝对对，但成熟度得挑着用，别一上来就梭哈。软件的下一个用户不是人，是 Agent——这话现在听着离谱，两年后可能只是常识。 🦐 仓库地址：https://github.com/HKUDS/CLI-Anything ⑥ Cloudflare 把自家挖漏洞的流程，做成了一个 Skill cloudflare/security-audit-skill（JavaScript）：六阶段安全审计流程，产出可复核的机器可读漏洞报告。本周新增 12680 star（总 45333 star）。🦐 虾酱说：让 AI 查漏洞，最容易翻车的是「幻觉报洞」：它信誓旦旦说这里有注入，你一看是误报。这套 Skill 的办法很工程——先画架构和信任边界，再分头去查，每个疑似漏洞交给一个全新 Agent 专门去证伪，最后把确认、待验证、驳回分三档写进 JSON。适合有审计需求的安全团队和快要上线的中小团队，尤其是没预算买商业 SAST 的。个人项目也能跑，但别指望它替代人工审计——它强在覆盖率和纪律，弱在业务理解。虾说不瞎说，Cloudflare 敢把自己挖洞的骨架开源，这份底气值得一个 star。安全这行，流程比模型值钱，这套东西就是活证据。 🦐 仓库地址：https://github.com/cloudflare/security-audit-skill 🦐 虾说不瞎说 · 每周日，虾酱带你淘开源好货觉得有用就点个赞吧～
