几个月前，一个开发者组织了一批 AI Agent，把 2009 年的《使命召唤：现代战争2》从二进制机器码反编译回了可编译的 C++。烧掉数千亿 Token、算力账单二十多万美元，99% 的底层函数被重建，83% 与原版机器码逐字节一致。几乎同一时间，一个在 GitHub 上狂揽近 30 万 Star 的开源项目 REA（Reverse Engineer Anything） 把"逆向一切"的按钮递到了普通程序员手里——对 Claude Code 说一句"帮我看看这功能怎么实现的"，AI 就去拆了。知乎知乎
"闭源软件要被迫开源了"的论调刷屏。但热度退去后，真实的图景没那么神，也没那么安全。
REA 不是神，是给老工具装了个 AI 嘴替
先说清楚 REA 是什么：它自己不做逆向，而是把 Ghidra、Hopper、JADX 这些专业反编译引擎通过 MCP 协议打包，让各家 Agent 随取随用，还原代码时附上文件摘要、字节区间、置信度，方便复核。知乎知乎
最能打的战绩：经典打砖块游戏 DX-Ball，从"播放音效"一个调用点顺藤摸瓜追到声道计算函数，还原成 C，通过 3205 组测试，编译出 63 字节与原版完全相同。知乎
最扫药的质疑：有用户实测，一个 200MB 的 dll，接 REA 半小时没逆出埋点，反倒是本地模型手写 Python 脚本先找到了。更扎心的是深耕逆向多年的博主"老狼"的判断：逆向知识早就躺在大模型的预训练语料里，他全程不装任何逆向引擎、不接任何 MCP，用半天就把《赤色要塞》从 6502 二进制复刻到了 x86 UEFI BIOS。工具不是必需品，模型本身就在变强。知乎
真正的拦路虎不是技术，是封号
10 月 21 日之后风向变了：Claude 开始拦逆向的活，接 REA 做二进制分析跑到一半会弹出"这条消息已被安全防护机制标记"，改写提示词也没用；同一周，拆自家三星电视的开发者被 OpenAI 以「Cyber Abuse」封号，账户里约 500 美元额度一起没了。有网友拿 Codex 接入 REA 后，自己用了好几年的账号直接被封。评论区高赞说得很直白：“逆向 IDM 的最大阻碍是模型审查，不是装个 REA 能解决的。”知乎知乎
红线也真实存在：拆社交小程序被网友当场警告"破坏计算机信息系统"。只碰自己有授权、或法律允许研究的软件，这不是建议，是底线。
接棒的 craft-anything：从"抄你"转向"造我"
10 月 31 日开仓的 craft-anything，六天后攒下 15,285 星，它补上 REA 缺的环节：不只查清楚，还直接起新项目复刻，并与原版量化对比——它会告诉你这一页和原版 87% 像，剩下 13% 差在导航栏行高、按钮圆角。知乎
关键在默认姿态：Clean room 是默认开着的，它不读原件的代码、文件和页面源码，只拿访客看得见的东西当输入——截图、可见文字、量出来的布局和配色，条款里还写明不绕 DRM、不绕登录、不绕反作弊，把"抄外观"和"抄代码"的法律线划得清清楚楚。知乎
那普通开发者该怎么用？
评论区其实已给出方法论最佳答案：与其逆，不如把需求写清楚让 AI 重做——干净、合法、还不用背账号风险。逆向留给三类正事：老软件续命（没源码的古董游戏、停产设备固件）、自家产品体检、以及有授权的安全研究。
当代码一夜之间可以被任何人拆开，真正逆向不出来的，只剩你对真实需求的洞察、用户数据和信任。这才是逆向研发时代该抄的作业。
