千千静听、支付宝都被AI拆了？GitHub新王REA该不该装

10月21日晚上，博主"线条君"干了件损事：用AI把2006年的千千静听拆了，7015个函数全部过完。本来是去抓它偷隐私的，结果沉默了——这款老软件一辈子只对服务器说三句话：报版本、问歌词、交歌词。用户名不报，机器码不读，注册表只偷看邻居Winamp的。“这哥们儿老实得让人心疼。”微博

他用的工具，就是这两周刷爆GitHub的REA，全称Reverse Engineer Anything，直译"逆向一切"。

火成什么样

10月7日，REA更新4.1.0版本加入手机App分析，随后彻底爆火：一天涨星1.4万，Hacker News和GitHub Trending双双登顶，第三天星数逼近8万，涨速压过年初全民"养龙虾"的OpenClaw。到10月21日，总星数已达27万，一周暴涨23.9万颗。字母榜微博新智元知乎

它干的事一句话说清：把Ghidra、IDA、JADX这些专业逆向工具，打包成AI能自己调用的"工具箱"，通过MCP协议接进Claude Code、Codex、Cursor。以前拆软件得自己啃汇编，现在你对AI说"搞清这个功能怎么实现的，给我看证据"就行。而且每条结论都附带证据、模块关系和局限性——查不出来就老实承认，这是它最值钱的设计。知乎专栏

社区已经玩疯了：微信、支付宝、抖音被挨个分析，Adobe全家桶被克隆出一堆相近的作图软件，作者还在挑战Office这种巨无霸。字母榜新智元

先泼盆冷水

但先别急着喊"软件行业完蛋了"。

第一，REA只能拆你手里的东西。SaaS的核心逻辑跑在服务器上，本地只有个"空壳"，它能逆向的部分恰恰是SaaS最不重要的部分。国民App也一样：微信的壁垒是关系链，支付宝的是牌照和风控，抖音的是推荐算法——全在云端，反编译扒不出来。知乎专栏字母榜

第二，实测没那么神。有博主做了双盲对照：让AI在有REA和没REA的环境里修改Bitwarden安装包，两边都在14回合内交卷。装了REA的那组反而因为缺插件配置，中途退回手动工具。普通改软件，顶尖大模型自己使apktool就很能打。REA真正的强项在安全审计、合规调查——需要每条结论都带文件指纹、能追责的场景。知乎

第三，法律红线。个人学习研究目的的逆向一般被允许；但把拆出来的代码复制再发布就是侵权，伸手到线上系统可能直接入刑。官方也写明：只用于合法研究。字母榜

该不该装

想凑热闹的话，"软件考古"是它最动人的用法——二十年前你只能听千千静听的，现在能随时拆开它，看看它当年老实还是鸡贼。上手只要一条命令：npx rea-agents setup，需要Node.js 22+，装完接进Claude Code或Codex就能用。知乎专栏

闭源护城河没有一夜崩塌，但"拆开看看"的门槛确实没了。这可能才是这波AI工具里最有意思的事：它让好奇心长出了手。