让 agent 自己把 App 拆开看：REA 一周 4 万星，它火的不是逆向，是“证据链”

一个叫 REA（Reverse Engineer Anything）的开源工具正在 GitHub 上狂飙：作者 morluto，MIT 协议，本质是一个 MCP 服务器加 CLI。用法一句话：让你的 Claude Code、Codex 或 Cursor 指着一个 App 问“这个功能怎么实现的”——不需要源码，agent 调 Hopper、Ghidra、IDA 反编译、追踪执行，最后给出带证据和局限说明的结论，还能帮你用自己的技术栈把逻辑复刻出来。

它能拆的东西很全：原生程序、JS 和 Electron 应用、.NET 程序、网站、Go 和 Rust 程序、安卓 APK、固件、模型文件头。安装就一行：npx rea-agents setup，要求 Node 22.23.4 以上或 24、26 的对应版本。分析在本地跑，但工具结果会发给你的模型厂商，这句要记牢。

星数先分级：9 月 12 日它只有 401 星，到 10 月 25 日涨到 38.4 万星；10 月 20 日到 25 日一周涨了 4.2 万星，日均 8436 星，10 月 26 日当天还是星速榜第一。但要提醒一句：star 是收藏数，不是用户数，别把它当成装机量。

它火的真正原因不是“逆向”这个词刺激，而是“靠藏着掖着保护软件”这招失效了。以前反编译要专业技能和昂贵工具，现在 agent 替你把脏活干了。正当用法有三条：学竞品功能的实现思路、审计自己发布的 App 到底泄露了多少信息、老系统没文档时重建架构。红线也划清楚：别拿它去抄有版权的实现，别碰许可和法律边界，项目自己也说“不恢复原始源码、不整应用克隆”；官方 README 还警告有山寨仓库，只认 morluto/rea、rea.tools 和 rea-agents 这三个官方来源。

怎么用起来：先拿自己的 App 练手——看看 agent 能从你发布的产品里挖出什么，这比任何安全课都直观；再决定要不要用它研究别人的功能。结论里“证据和局限”那部分别跳过，那是它和瞎猜的区别。

可信度：星数为 GitHub 每日快照（经 hysenlabs、whatstrending、ghtrends 交叉）；功能与安装为项目 README 口径；404 Media 10 月 20 日报道 34.2 万星。