ARTICLE · 1275236
不用源码就能看懂别人的 App:REA 实测,这个开源项目有点东西
免费、开源、全本地运行。AI 编程助手终于能"看"没有源码的软件了，而且每个结论都带证据。
🎬 一、它到底是什么
一句话：REA 是一套 MCP 服务 + CLI，把 Ghidra、Hopper、IDA、JADX、Binwalk 这一票逆向工具，统一打包成 AI Agent（Claude Code、Codex、Cursor、Gemini CLI）能直接调用的工作流。
MCP 是 AI Agent 调用外部工具的通用接口。接上之后，你不用再在多个逆向工具之间来回倒腾、在反汇编窗口里手动追调用图——你在对话框里说一句"帮我查清这个应用的某个功能怎么实现的"，Agent 自己去调 REA，本地驱动引擎反编译、追调用链、搜字符串，然后把带证据的分析结果返回给你。
它自己不做逆向引擎，它做的是"编排"——这件事恰好是逆向领域几十年来最没被解决的痛点。
体量参考：2026 年 10 月初冲上 GitHub Trending 第一，一周左右 star 从 1 万涨到 14 万+，fork 3.3 万+，npm 包最新版本 6.3.x。
📊 二、到底能拆什么（覆盖面是真的宽）
这是 REA 最让人意外的地方。我原以为它就是冲二进制去的，结果范围远超预期：
原生二进制：伪代码、汇编、字符串、符号、调用关系JavaScript / Electron 应用（ASAR 感知，静态分析不运行应用）：还原模块、导入关系、路由、IPC 通道
网站：抓页面结构、脚本、网络请求
.NET 程序集：纯静态，无需额外引擎
Android APK：JADX 无头反编译Go 二进制、Flutter 应用、固件、EVM 字节码、WASM、SQLite 数据库
运行时观测：安卓真机（ADB）、网络抓包（HAR / pcap）、进程行为、逻辑信号
包解剖：ZIP / APK / IPA / ASAR
关键是分档：Electron、JS、.NET、Go 这一档装个 Node 就能跑，不用额外引擎；原生二进制才需要 Hopper / IDA；APK、固件、Android 真机要装各自配套工具。
新手第一句话：别一上来就盯 Hopper。你电脑上日常用的软件——微信桌面版、Notion、VS Code——一大半属于第一档，门槛最低，先跑通一遍再说。
🧭 三、怎么用（我自己走了三步）
Step 1｜装
MCP 服务，npm 一行命令接入你的 Agent。Node 版本要求 22.19+ / 24.11+ / 26+。
Step 2｜给目标
把目标丢给它——一个二进制、一个 Electron 安装包、一个 APK、一个网址都行。
Step 3｜提一个有边界的问题
别问"这个软件怎么做的"，要问"这个 App 里 XXX 功能的实现路径是什么，从哪个入口进，调用了哪些函数"。
问得好，答案带伪代码 + 调用链 + 证据定位；问得糊，它只能给你一堆常识级废话。逆向的调查流程（搜字符串 → 追 XRef → 反编译 → 重建）已经固化进工作流指令，Agent 自主往下推。
🤝 四、最离谱的是：它给的是"证据链"，不是"一个答案"
Agent 时代的逆向产出不是结论，是一条能回放的证据链——函数在哪、被谁调用、伪代码长什么样、边界在哪，缺一样都不算可信。
官方公开案例里有一个我印象很深：对日文 PC-98 东方幻想乡（东方Project早期作品）的可执行文件做分析，目标是查明圆环弹幕怎么计算角度并瞄准玩家。最终从指令里还原出了圆环弹幕的角度算法。
还有一个案例是从逐帧逐字节一致的层面，重建了内置猫的动画输出——但项目方自己写明了边界：非证明完整应用等价。
这种"自己先说清楚自己做不到什么"的诚实度，在 AI 工具里反而少见。
✅ 五、适合谁 / 不适合谁
适合
✅ 做安全研究、做老游戏复刻、做软件存档保存的人
✅ 想研究竞品某个功能做法的普通开发者
✅ 团队里有人会 Ghidra 但只有一两个人 —— 让 Agent 先追，人来核对证据
不适合
❌ 期待"一键克隆任何 App" —— 这是媒体标题党，不是产品能力
❌ 微信、支付宝、抖音这类国民 App —— 强加固 + 核心逻辑在服务端，客户端能拆的很有限；公开检索范围内也没找到有人真用 REA 成功逆向了它们
❌ 复杂混淆、反调试、虚拟机壳、内核级逻辑、驱动逆向
❌ 需要法律授权的目标 —— 项目明确声明只支持合法逆向研究，合规责任在使用者
🎯 六、到底要不要用
要用的理由：它把"逆向"从一门需要几个月硬功夫的手艺，变成了普通开发者能在十分钟内上手的动作。以前你要啃反汇编器 API、手动追调用图、来回倒腾工具；现在 Agent 先追，你只做核对。
别用它的理由：输出是伪代码，不是原作者那份源码——变量名、结构、注释全靠工具猜；不同引擎结果质量差异明显；你还要自己承担合规责任。
短板必须说清楚：版本迭代非常快（4.x → 6.x 一个月内跑完），API 和行为可能变；深度分析仍依赖外部引擎，引擎版本不匹配会出奇怪结果；中文语境下的样本相对少。
免费的、开源的、本地跑的、不上传目标文件的——逆向平权这件事，REA 确实做了一部分。
但请把它当"放大器"，不是"替代品"。Agent 负责追，人负责判断和担责。
