十月的第一周，GitHub 上出现了一条几乎垂直的曲线。
一个叫 REA 的项目，三天冲到近 8 万星；到 10 月 17 日，Star 数超过 29 万。知乎微博
演示一个比一个玄。有人花 25 分钟，把语音输入工具 Typeless 复刻成免费本地版；有人半小时逆向自家马桶，点一下，马桶盖就翻起来。知乎微博
但把同一批案例拆开看，故事会冷静很多。
REA 的全称是 Reverse Engineer Anything，GitHub 用户 morluto 的开源项目。它不是大模型，而是一套跑在本机的命令行工具加 MCP 服务。
它把 Ghidra、Hopper、IDA 这些老牌逆向工具包起来，接到 Codex、Claude Code 这类编程 Agent 上。知乎
以前，反编译出来的机器码丢给 AI，它读不懂，也不知道下一步查什么。REA 把“选工具、看证据、继续追”交给 AI 自己跑。
所以它真正降低的是门槛，不是发明了新技术。
程序员鱼皮拿它试了《火影战记》。他想给游戏加角色迈特凯，但没有源码，也不懂资源格式。
第一次用 Cursor 加 Claude Opus 5.5，游戏包一打开就卡死；换成 Codex 加 GPT-6 Astra，AI 拆开安装包，摸清了 cocos2d-x 引擎和三种私有资源格式。
它找到了写死在原生库里的角色注册流程。最后，选人界面真的多了一个迈特凯，技能、血条、金币都正常。知乎
另一个测试来自专业逆向工程师 lihang。他用 SketchUp 的读写 DLL 试手，7 分钟就看到了模型里的点、线、面数据；同样的活，他几年前花了一个月。知乎
但换一个体积，就是另一个故事。
theigrams 用 M1 Pro、16GB 内存测试：3.4MB 的 Rust 程序跑了约 5 分钟；换成 32MB，连续三次超时，MCP 超时改到 330 秒也不够。知乎
他还在 Reddit 上看到有人分析 50MB 的程序，默认配置跑了 2 小时。REA 每次分析都从头建临时项目，超时一次就全部白费。
更尴尬的是，很多“逆向一切”的案例其实是 Electron 应用。解压 asar 包、读混淆过的 JS，AI 自己写两行脚本就能干。知乎
麻省理工科技评论还提到，GitHub 的公开测试里，AI 会漏掉实际存在的函数调用，却仍然把结果标成“完整”，有时甚至根本没调用 REA。微博
熊猫Jay 用 REA 做了个自动运镜的录屏工具，功能跑通了，也开源了。但真要录视频，他还是打开 Screen Studio：动手更容易了，不代表一个完整的软件就能轻松做出来。知乎
那 REA 到底改变了什么？
数字生命卡兹克没有去复刻商业软件，而是把公司电视的开机广告清掉，停用了 25 个系统软件包，重做了一个干净的桌面。微博
他还让 Agent 接管了直播间的 4 盏补光灯，把索尼相机和大疆 Pocket 3 接进同一个多机位界面。
这些事以前只有“大佬”能做，现在一个愿意折腾的普通人，把设备型号和需求丢给 Agent，就能试出来。
真正塌掉的不是“闭源”，而是“买回来的东西只能按厂商说的用”这条默认规则。
安全审计发现，REA 在 macOS 上调用 Hopper 时，恶意样本的文件名可以被拼进 AppleScript 执行；旧版 apktool 也有已知漏洞。知乎
如果开了自动批准，样本里的一段文字就可能变成你机器上的命令。工具以你的权限运行，样本却可能由攻击者控制。
鱼皮用 Claude 逆向学习 App 时，对话被自动切到更保守的模型，只肯做静态分析；换成 DeepSeek 才继续。知乎
闭源软件都要被迫开源了吗？没有。
客户端能被读懂、被重写，不代表后端、数据和持续运营能被拿走。知乎
lihang 的结论更准确：逆向变容易了，但大型工业软件里的算法难度没变，AI 吐出来的东西，很多时候只有它自己能看懂。知乎
真正稀缺的，还是会判断问题、验证结果、把东西维护下去的人。
