十月初，科技圈最炸的项目是一个叫 REA 的 GitHub 仓库。名字就是野心：Reverse Engineer Anything，逆向一切。6 天时间，星标从不到 1 万冲到 11 万，到 10 月中旬已经堆过了 27 万。标题越起越吓人——“软件已死”“闭源软件都要被迫开源”，微信、支付宝、抖音都被拉出来"惨遭毒手"。知乎知乎知乎
给不想看长文的省个流：REA 是真的，"逆向一切"是吹的；AI 确实能拆开软件，但拆不出大厂的核心。
先说 REA 是什么：不是新模型，是"二道贩子"。 逆向就是手里没有源代码，只拿着编译好的成品程序，反推它怎么写出来的。Ghidra、IDA、JADX 这些老牌逆向工具，门槛高到装配置就能劝退新手，以前想让 AI 帮你逆向，你得先是个会逆向的人。作者 morluto 把这批老工具通过 MCP 接进 Claude Code、Codex 这些 AI 智能体，一行命令装好，AI 自己挑工具，给结论还带编号证据。极客公园那句话很到位：REA 的技术不新，新的是用它的人——原本只有安全研究员玩的玩意，现在被塞进了大量普通程序员甚至小白手里。知乎知乎知乎
有人真测过吗？有，结果非常分裂。 职业逆向工程师 lihang 实测：一个 CAD 软件他当年花 1 个月分析的模型数据结构，REA 约 7 分钟就分析到了（他本人说法），他也提醒大家逆向变容易归容易，还得看目标软件本身的难度。但程序员鱼皮的实测翻车：用 Cursor+Claude 逆向一个小游戏加角色，AI 声称成功，打开就卡死；换 Codex 才跑通，选人页里真多了个新角色。鱼皮的评测也直白——REA 一口气往上下文里塞约 170 个工具定义，有时让 AI 自己装工具裸干，反而更快更省。还有个更大的"BUG"：全网出圈的"射击游戏 99% 函数还原、字节级一致"，用的是 IDA 厂商 Hex-Rays 的官方接口，压根不是 REA——这波 AI 逆向的集体战绩，被打包记到了这一个项目头上。知乎
为什么拆不出核心？命根子在云上。 客户端拆得再干净，也只是你手机和电脑上的那层"壳"。风控模型、账户体系、推荐算法，大厂根本不存在你设备上，把支付宝扒个底朝天，也扒不到它的账本。社区确实已经逆向了 Adobe 设计全家桶、谷歌全家桶和一堆国民 App，但在真正的核心面前，这些战绩不过是冰山一角。真正危险的是另一类：只靠"本地功能"收钱的软件，注册码、防盗版机制，在 AI 面前基本裸奔。知乎
有意思的是，模型厂商先开始勒缰绳。 10 月 25 日起，多位用户反映 Claude 的逆向能力被收紧：“最近被多位用户反映逆向工程能力变弱了，安全护栏会在回答中途拦截，Anthropic 并没有官宣改动”。换措辞也绕不开，而鱼皮在十月中旬实测就撞上了：逆向某付费 App 时模型直接拒绝完整反编译，原话是"无论怎么包装成学习，复原它访问内容的管道就越界了"。工具可以装进任何人的电脑，厂商开始用护栏划红线。哔哩哔哩
最后是所有人最关心又最没底的问题：违法吗？ 研究性逆向在国内外普遍被容忍，但这条线本来就走在法律边缘，把代码抄走改吧改吧再发布是侵权；拿结果攻击线上系统，是刑法。更微妙的变化是"净室开发"——行业里"只参考思路、不抄代码"的传统防线失效了：读逆向和写克隆的是同一个 AI，字节级还原恰恰是净室最怕的东西。知乎
顺便说一句，在"3A 老游戏被 AI 反编译搬到网页"的热帖下面，最高赞的追问是"在哪能玩，快重置红警"。这波技术最真实的面孔大概就在这：行业在焦虑，律师在加班，玩家只想找回童年。 至于程序员，不必慌——门槛塌了，值钱的是判断力。少信那种配套卖课的"软件已死"，工具终究只是二道贩子，跑腿的活儿，永远缺一个下单的大脑。知乎
