不看源码也能让 agent 讲清一个功能怎么实现：REA 一周又涨 4.4 万星，但它不替你抄

昨天我们发过 Craft Anything：指着一个软件，让 agent 研究完再重建一个。今天榜单上的 REA（Reverse Engineer Anything）像是它的前置步骤，但立场完全相反——它不替你重建，它只负责把“这个功能到底怎么实现的”讲清楚，并且每一条结论都附上证据。REA 的定位是一个 MCP 服务器加命令行工具，仓库是 morluto/rea，MIT 开源，npm 包叫 rea-agents，一条 npx rea-agents setup 就能装进 Claude Code、Codex、Cursor、Gemini CLI 等二十多种 agent 环境。它干的活是把 agent 接到现成的逆向工具上：原生二进制走 Ghidra、Hopper 或 IDA，JavaScript 与 Electron 应用看模块与源码映射，.NET 程序集、安卓 APK、固件、网站与抓包记录也都在覆盖范围里。分析跑在你自己的机器上，被看的二进制不会上传到某个托管服务。它最值得学的一点不是工具覆盖面，而是证据格式：每条发现都以 Evidence 记录的形式返回，写明来源位置、可信度与已知局限。agent 拿着这份记录去解释功能、写实现、做测试，你也能顺着记录反查它到底站不站得住脚。这正是 vibe coding 里最缺的一环——agent 平时给你的结论常常没有出处，REA 强行把出处钉在了结论旁边。但有三句话必须先说清。第一，它不恢复原始源码，项目自己的例子停留在函数级别，不是整应用克隆，那些“AI 能抄任何应用”的说法没有独立复现，别信。第二，它只解决“看懂”，不解决“能不能抄”：仓库明确写着仅用于合法逆向研究，授权问题是你自己的责任，别拿别人的品牌素材、私有代码、受保护的实现细节去喂它——昨天 Craft Anything 那篇的法律边界，在这里原样适用。第三，市面上已经出现同名仿冒仓库，只认官方仓库、官网与 rea-agents 这个 npm 包名，别的地方下的东西不要装。热度本身也值得冷静看：11 月 3 日的榜单上它仍居前二，第三方追踪器统计它在 10 月 25 日到 11 月 3 日这一周新增约 4.4 万星、日均约 4900 星。但星数是关注度，不是质量证明，更不是“已经验证好用”的章。真正值得你动手验证的，是它在你自己的项目上能不能在几分钟内讲清一个你本来要花一小时翻代码才懂的功能。这个结论不成立的时候：你手头有完整源码和文档，那 REA 就是绕远路；你面对的是有明确授权争议的目标，那正确的动作不是换工具，是停下。可信度：功能、安装路径与证据格式为仓库 README 口径，经多家 10 月 9 日至 11 月 3 日梳理与 11 月 3 日榜单交叉；星数增速为第三方追踪器统计，属热度信号；“函数级而非整应用克隆”与“无独立复现”为第三方梳理口径，已标注。