一个开发者拿 AI 扒了自己写了一整年的桌面软件。
18 分钟后报告出来：178 个通信管道全暴露，本地开了哪些服务、走了哪些通道，列得清清楚楚。他反而长舒一口气——报告里还有另一个数字：42352 项"语义未知"。架子全透明，灵魂一个字没看懂。知乎
让他又惊又喜的工具，叫 REA。
先说清 REA 是什么
全称 Reverse Engineer Anything，MIT 许可开源。一句话说完：它自己不做逆向，而是把 Ghidra、Hopper 这些干了几十年的老引擎，通过 MCP 协议"接线"给 Claude Code、Cursor、Codex，让不懂汇编的人用一句自然语言拆开一个软件。36氪知乎
今年 4 月提交初始代码，7 月开源，10 月冲上 GitHub Trending 榜首。到 11 月中旬，作者还在高频更新代码。36氪知乎
但它不是独立的反编译引擎，也不能凭空恢复源码或克隆整个应用，出伪代码和汇编的还是那些老工具。它把每条发现标成 Seen（亲眼所见）、Inferred（推断）、Unknown（未知）三档，分析全在本地跑，每条结论都得带上出处。知乎知乎
星标数也对不上：10 月 12 日说三天 12 万星，15 日有人数到 23 万，11 月初又变成 42.5 万星。有人查证后直言，这些数字的查询时点、仓库身份和统计口径从没统一过。看热度行，别当安装量。36氪知乎知乎知乎
对普通用户，三条判断能直接用
一、壳子和灵魂分开看，才知道钱花在哪。
上面那份实测就是样本：Electron 打包的桌面软件，架构、IPC 通道、本地端口几分钟被摸清；可混淆后的业务逻辑一条都读不懂，42352 项标着"语义未知"，云端的提示词、密钥和交付逻辑压根碰不到。所以别只对着功能列表点头，要看核心能力在本地还是在云端：在本地的，买断才是你的；在云端的，停订阅就没了。知乎36氪
二、"专业软件"的溢价，现在有人算了。
一位干了多年逆向的工程师拿 SketchUp 的文件读写 dll 试手，7 分钟读出模型里点、线、面的数据结构，同样的活他几年前做了一个月；接着是 AutoCAD 那个一万多行、当年卡他两三天的对象工厂函数，AI 十几分钟给出结论，他核对汇编地址和数据结构，是对的。知乎
价格呢？他的判断是：闭源软件会大幅降价，降到烧 token、人工加法律成本不划算为止。成本参考：拆一个 Unity 游戏花掉 4000 万 token、约 27 美元，多数 App 半小时内、不到 5 美元。也有人唱反调，说大模型做逆向其实并不需要 REA，闭源软件早就危险了。可那说的是不必用这把刀，不是说扒不开。方向反而更明白：你手上那份年费，议价空间比你想的大。知乎36氪知乎
三、别自己动手装。
实测账本：光克隆 146MB 主仓库加 4 个子模块就花了快 10 分钟。知乎
装完也不算完：Windows 支持被官方标为"实验性"，混淆、加壳、虚拟化的代码更是明摆着的硬边界。知乎
本地运行也不等于数据不出本机。函数名、字符串、提示词和反编译结果会不会经过模型供应商、会不会被缓存，仍取决于你用的 Agent 和模型配置。知乎
一条别越的线
10 月 21 日后，陆续有人发现 Claude 开始拦逆向的活：Opus 5.5 接上 REA 做二进制分析，跑到一半弹出"这条消息已被安全防护机制标记"；同一周，一位拆自家三星电视的开发者被 OpenAI 以"Cyber Abuse"封号，约 500 美元额度一起没了。后来的核查没那么戏剧：Anthropic 没发公告也没点名 REA，是 Opus 5.5 那套偏宽的网络安全分类器误伤。知乎
10 月 31 日，新仓库 craft-anything 开了，六天后 15285 星、2652 个 fork。它接的是 REA 的下一步：不只查清楚，还直接起新项目跟原版对着比。知乎
比到什么程度？它能报出"这一页和原版 87% 像，13% 差在导航栏行高、按钮圆角和一段文案"。默认还开着 clean room，只吃访客看得见的截图、文字和布局，不读原件代码。知乎
它的 README 有句话值得原样转告：clean room 只是这个工具拒绝提供什么，它不是操作系统级沙箱，隔离不了你的电脑，你那个 Agent 仍以你的身份在动。知乎
底线就一句：只拆你自己的、拿到授权的、或法律明确允许研究的软件。
最后
REA 真正的价值不是让你抄软件，是让"这东西值不值这个价"第一次有了硬证据。架子它给你看，灵魂还得你自己判断。下次掏钱前先想清楚：它的核心在本地还是在云上——光这一条就够回本了。
