最近半个月，GitHub 热榜上有个名字一直挂着：REA，全称 Reverse Engineer Anything，逆向一切。截至 10 月 25 日，它拿了 38.4 万颗星，单日还在涨六千多。伴随它出圈的是那句「软件行业要完了」——AI 能把任何付费软件拆开看光，还能照着抄一个。哔哩哔哩知乎
这话听听就好。但 REA 本身，是真有东西。
它拆的不是代码，是门槛
REA 不是反编译器，自己不带逆向引擎。它是一个 MCP 接口，把 Ghidra、Hopper、IDA 这些逆向圈用了十几年的老工具「接线」给 AI 编程助手，让 AI 用一句自然语言驱动它们干活，分析全程在本地跑，文件不上传云端。知乎
官方最出圈的案例是拆老游戏 DX-Ball：AI 从「播放音效」一个调用点追进二进制，找到根据球的位置计算左右声道的函数，还原成 C 代码——3205 组原版测试全部通过，编译出的 63 个字节和原版完全一致。GitHub知乎
国内一位干了多年的逆向工程师做了个更狠的实测：拿自己几年前分析过的项目考它。SketchUp 的文件读写 DLL，他当年用了一个月，REA 7 分钟就分析出点、线、面的数据结构；AutoCAD 里一个上万行、卡了他两三天的对象工厂函数，AI 十几分钟给出结果，核对汇编地址和数据结构后确认：分析正确。知乎
「网上吹的没有错，确实非常厉害。」这是他挨个给朋友打电话说的原话。逆向这行的门槛，以前以「年」计，现在被压成了一句指令。知乎
但这三样，它拆不动
热度过高，得泼点冷水。
第一，服务端拆不到。REA 只能分析装在你本机的东西，而商业软件真正值钱的部分——支付风控、推荐算法、云端校验——全在服务器上，本地连对应的二进制都没有。就算拿它拆国民 App 的安装包，拆到的也只是客户端的请求拼装和参数结构。知乎
第二，对手不是木头。混淆、虚拟化保护、反调试，都会大幅抬高逆向成本；曲面求交、容差控制这类复杂工业算法，就算 AI 拆出来，质量也很难讲。那位逆向工程师的判断是：真遇到复杂问题，还得靠懂原理的人回去验证，「并不是跟 AI 说一句，它就能交给你一个没问题的软件克隆」。而且逆向烧的 token 是真金白银。知乎
第三，星数打折听。它一周涨了多少星，各家口径从 12 万到 23 万都有，还有人公开质疑刷星，看个热闹就行，别当质量证书。知乎
想上手的，记住两条
REA 是 MIT 协议，一条命令安装（npx rea-agents setup），能接入 Claude Code、Codex、Cursor 等主流 AI 编程助手。动手前有两件事必须知道：
一是合法性。官方 README 写明：只支持合法研究、教学、互操作、软件保存，以及分析你自己拥有或被授权的软件。未经授权逆向商业软件拿来用，涉嫌违法，这条线不能踩。GitHub
二是别下错。太火的结果是山寨仓库蹭名字、抄 README。官方在首页特意警告：只认 morluto/rea、rea.tools 和 npm 的 rea-agents 三个渠道，名字像不代表是正版。GitHub
一句话总结：REA 把「看懂一个黑盒软件」的门槛砍到了脚踝，这是真的；「任何软件都能免费克隆」，是吹的。它拆得动二进制，拆不动服务端，更拆不动整个软件行业。对开发者，它是维护遗留系统、做安全审计的利器——前提是，用在法律允许的地方。
