拆一个软件功能要熬一周,现在一句人话AI帮你拆完:开源REA 6天涨11万星,但这3类它啃不动

你有没有过这种经历：用一个软件，看到某个功能特别顺手——比如它的搜索框输入到一半就自动补全了，或者它导出PDF的时候排版居然不乱——你心里冒出一个念头：这个功能我也想加到自己产品里。然后你打开它的安装目录，看到一堆编译好的二进制文件，顿时就泄了气。你没有它的源代码，你连它是用什么语言写的都不知道。

这种事在三种人身上天天发生。做独立产品的，看到竞品一个交互特别好，想照着做一个，却不知道人家背后是怎么实现的；做企业内部工具的，手里有一套十年前的老系统，文档早就丢了，维护它的工程师也离职了，你想加个功能，只能对着反编译出来的汇编代码发呆；做安全研究的，拿到一个可疑样本，想搞清楚它到底干了什么，传统流程是打开反汇编器，一行一行地读指令，一个函数看半天。

这不是你不够聪明，是逆向工程这门手艺的门槛本来就高。它是安全研究员和破解者的专属技能：你得会用Ghidra、IDA这些专业工具，看得懂汇编语言，知道怎么在反编译器、调试器之间来回切换。一个功能拆上几天是常事，一个复杂软件拆上几周也不稀奇。

但就在过去这一周，这件事的门槛被人一脚踹开了。

今天要聊的这个项目叫REA，全名Reverse Engineer Anything，翻译过来就是"逆向一切"。它是一个MIT协议的开源项目，用TypeScript写的，在npm上叫rea-agents。它干的事一句话讲完：把专业的逆向工程工具接到AI编程智能体上，你不用自己会用那些工具，你只需要对AI说一句人话。

它的增长速度有点吓人。10月6日的时候它在GitHub上还不到1万星，到10月12日已经超过11万星。6天涨了10万星，平均每天1.7万。作为对比，今年年初那个刷屏的OpenClaw项目，第三天也才涨了6万星。REA上线第一天就冲上了GitHub Trending第一名。

它解决的核心痛点，是逆向工程里最耗时的那部分——不是"拆"本身，是"拆完之后你得自己看懂"。传统流程里，你用Ghidra把一个二进制反编译成伪代码，然后你得自己一行一行读，自己判断哪个函数是搜索逻辑、哪个函数是网络请求。REA把这一步交给了AI：你问它"这个应用的搜索功能怎么工作"，它自己去调Ghidra或者IDA，自己翻二进制，自己找相关的函数和调用关系，最后把结论和证据一起交给你——哪个函数处理搜索、它在哪个文件的哪个偏移量、它调用了哪些子函数，全给你标出来。

这件事放在更大的背景里看，是AI Agent第一次把"专业工具链"打包成了一句自然语言指令。过去你要让AI帮你逆向，你得先是个会逆向的人：装好IDA，配好插件，知道该问什么问题。现在你一行npx rea-agents setup，选好你用的AI编程工具，点头确认，配置就写好了。

它具体能干什么？根据项目自己列的能力表，你可以把它指向这几类目标。

原生二进制文件——通过Ghidra、IDA或者Hopper，它能给你伪代码、汇编、字符串、符号表和函数调用关系。JavaScript和Electron应用——它能静态分析模块、导入、source map、路由和IPC通信，不用运行应用。.NET程序集——它能读元数据和CIL指令。安卓APK——通过无头JADX，它能拆出Manifest、类和反编译方法。网站——通过Chrome浏览器，它能看页面结构、脚本、网络请求和截图。除此之外，WASM、EVM字节码、Go二进制、固件、网络抓包文件和Linux崩溃记录，它都有对应的分析路径。

装好之后支持哪些AI编程工具？Claude Code、Cursor、Codex、Gemini CLI、Grok Build，这些主流的都接了。其他支持本地MCP服务器的客户端也可以手动注册。

那它和你想象中的"AI一键破解软件"，到底差多少？直接上对照。

但别急着兴奋。这波浪潮里最清醒的声音，恰恰来自逆向工程圈本身。

第一，技术并不新。让AI接上逆向工具，GhidraMCP、IDA Pro MCP这些开源项目去年就在做了。IDA Pro MCP的作者、调试器x64dbg的开发者Duncan Ogilvie说过，他用IDA的MCP插件大约一小时就解完了今年Flare-On逆向挑战赛的全部题目——那是谷歌旗下FLARE团队办的、取材自真实恶意软件分析的比赛。《Practical Reverse Engineering》这本书的合著者Elias Bachaalany，早年在IDA的开发商Hex-Rays工作过，REA被刷屏的时候他转发了一条推介，开头就一个词：炒作。他列了一堆早就存在的同类工具，意思是这些人只是没见过。REA真正新的地方，不是技术，是把门槛从"会逆向的人"降到了"会说人话的人"。

第二，它啃不动的东西还不少。安全领域博主轩辕之风的判断是：没加壳的程序AI轻松拿下，轻度加壳也行，但VMP这类高强度虚拟化保护目前还啃不动。而且REA连动态调试都没有——它只能静态分析，不能运行起来观察行为。有博主拿它拆剪映，发现Claude拆到一半会卡住，也会被模型服务商的安全策略限制。还有一类东西它怎么都拿不到：放在服务器上的逻辑。你能拆开装在自己电脑上的客户端，显然拆不开别人机房里的那一半。REA自己的说明里写着"分析在本机运行"，这话没错，但智能体要理解分析结果，就得把反编译出来的代码片段发给背后的模型服务商——如果你拆的是签过保密协议的东西，这一步本身就可能违约。

第三，也是最容易被忽略的——法律风险。REA的宣传语说"看到一个想加入自己产品的功能？让智能体去帮你调查它"。但"调查"和"照着做一个"，在法律上是两件事。版权保护的是代码怎么写，不保护功能本身——别人有个好用的搜索功能，你自己写一个效果相似的，本身不违法。麻烦在于它是怎么写出来的。软件行业应对这件事有一套老办法叫净室开发：一组人去拆对方的产品，只写功能说明书；另一组从没看过对方代码的人照着说明书从头写，两组之间隔着一道墙，这道墙就是打官司时的证据。REA现在把这道墙拆了：读反编译结果的是这个智能体，写新代码的还是这个智能体，中间没有任何隔断。Hacker News上有人把这种做法叫作"洗知识产权"。

游戏圈已经把这件事推到了极端。10月初，一批老游戏突然能在浏览器里直接玩了——《光环》《半条命》《GTA5》《使命召唤》。其中一个能在浏览器里玩GTA5的网站上线几个小时就被下架了。Rockstar、Activision、Bethesda的法务团队都光速出动，撤下了自家游戏的浏览器版本。逆向开发者Maurice Heumann让十几个Claude Code和Codex智能体并行干活，把一款射击游戏99%的函数还原成了C++源码，其中83%编译出来和原程序逐字节一致——注意他用的是Hex-Rays的官方MCP，不是REA。但这说明这件事的技术门槛确实已经不在了。

那到底该不该试？给你三个判断标准。

如果你是做独立产品的，看到竞品某个功能想搞懂它的实现思路——REA可以帮你快速理解一个软件的内部结构，但记住：自己写一个，别让AI把反编译结果直接改成你的代码。如果你是做安全研究的，REA可以帮你省掉大量手工翻汇编的时间，但别指望它能搞定加壳样本和动态行为分析。如果你是普通用户——别碰，你既没有Ghidra也没有IDA，装了也用不起来。

还有一条建议来自Elias Bachaalany本人：只要程序跑在用户手里，就能被拆开，唯一稳妥的办法是把关键逻辑放到服务器上。他在后面补了一句：目前是这样。

REA把逆向工程从一门手艺变成了一条命令。这件事本身是中性的——它降低了理解软件的门槛，也降低了复制软件的门槛。工具没有对错，但按下回车的人得自己想清楚：你拆这个东西，是为了研究，还是为了抄。

最后说一句。这个项目最值得关注的不是"AI能逆向了"这件事——技术圈去年就在做了。最值得关注的是：6天11万星说明，大量从来没碰过逆向工具的人，现在第一次能对一个软件说"给我拆开看看"。工具平权这件事，正在一个我们过去以为最需要专业背景的领域里发生。至于拆完之后该干什么不该干什么，那条免责声明早就写好了——责任在你。