把一条GitHub链接丢给Claude Code这类AI编程助手，不需要源码，AI就能把你电脑里的闭源软件解剖一遍，再“替你的项目做一个版本”。这不是黑客电影，是今年10月科技圈的真事——项目叫REA（Reverse Engineer Anything），直译“逆向分析一切”。知乎
增长曲线很吓人：10月7日更新4.1.0版、加入手机App分析能力后，单日涨1.4万星，不到半个月总星数冲破20万。评论区直接炸锅：“国民App惨遭毒手”的惊叹、“大复活、大兼容、大盗窃时代来了”的调侃齐飞。知乎知乎哔哩哔哩
但先说清楚：REA自己并不会逆向，它是个“接线工程”。它把Ghidra、Hopper这些老牌逆向工具通过MCP协议打包交给Agent，让AI用自然语言驱动反编译器。以前这些工具是人一口口喂的，现在AI自己吃。知乎
结果却不容小觑。经典打砖块游戏DX-Ball，AI从一个音效调用一路追到左右声道计算函数，还原成C代码，通过3205个测试用例，编译后63个函数字节与原版分毫不差。分析范围覆盖Android APK、固件、甚至区块链合约。同波次的ArtCraft团队更狠：让Claude逆向Adobe的PS、Lightroom、Premiere并开源，又克隆了Office三件套。用户攒了多年的“订阅之痛”，被一场免费复刻集中反噬。知乎知乎知乎
对逆向爱好者来说，比新闻更值得看的是三个被误读的点：
一、它是整合包，不是魔法。要用REA得装Node.js 22.19+，自行配好Ghidra加JDK21，Windows用户目前只有实验性功能。评论区也不乏冷水：“MCP一股脑全塞给AI，首轮对话50万token，本质就是整合包”。知乎哔哩哔哩
二、没有REA，大模型也能逆向。实测党指出，训练语料里的逆向先验足够直接复刻二进制程序，有人甚至不用REA、纯靠大模型加Ghidra攻破了VMP虚拟化防护。REA真正的贡献是给结论附上证据——文件摘要、字节区间、置信度，全程本地运行，把“能做”变成“可复现”。哔哩哔哩知乎
三、逆向有成本，闭源不会集体裸奔。高赞回答一针见血：混淆加密就是为抬高逆向成本而生的，AI烧的token一旦超过软件本身售价，这件事就没有市场。大厂App层层加固，你刚抢的红包并不会被“逆向拿走”。知乎知乎
真正落地的，是另一批场景。停服两年的老游戏《小小英雄》，被UP主自己救活了服务器。跑路外包公司的软件，机器码加注册码的认证被本地大模型不到10分钟解除。仙剑98、轩辕剑2的数值公式，被AI逐条“拉片”。逆向工程的主力从来不是黑产，是“我拥有的东西不该死在别人手里”的所有权情绪。哔哩哔哩哔哩哔哩知乎
边界也要划清：REA开发者在GitHub页面也附上了免责声明。而开源逆向复刻的商业软件版权怎么算，目前没有答案，ArtCraft的信箱据称已被侵权函淹没。知乎知乎
一句话收尾：“闭源”没有贬值，护城河只是从“藏住代码”挪到了“提高破解成本”。对这门手艺而言，工具再强，核心资产也从来没变过——对“它是怎么工作的”的好奇心，和拿证据说话的较真劲儿。
