開源工具 REA 讓 Claude Code、Codex 這類 AI 助手能拆解軟體，10 天內在 GitHub 累積逾 17 萬顆星。不過官方展示的成果仍是單一函式的還原，合法使用條款也是爆紅後才補上。
（前情提要：AI 逆向工程的《GTA 5》《決勝時刻》在瀏覽器可免費玩，廠商下架追不完）
（背景補充：恨透訂閱 Adobe？ArtCraft 開源 Photoshop、Illustrator 七款設計軟體，GitHub 一週破萬星）
一套叫 REA 的開源工具，能讓 Claude Code、Codex 這類 AI 寫程式助手，拆開沒有公開原始碼的軟體，查出某個功能是怎麼做的？截至今（13）日下午，REA 的 GitHub 倉庫已累計 175,029 顆星，幾乎全來自 10 月 4 日之後的 10 天。
REA 到底幫 AI 做了什麼事？
逆向工程，簡單來說就是拿不到原始碼時，把編譯好的程式拆開，推回它的運作邏輯。其實這類工具早就有了，REA 做的是把它們包成 AI 代理可以直接呼叫的形式。它是一個 MCP 伺服器加一支命令列工具。
流程是這樣：用戶用一句話提問，代理透過 MCP 呼叫 REA 去檢查目標、追蹤相關程式碼，REA 把虛擬碼、組合語言、呼叫關係等證據送回來，代理再據此解釋行為，或重寫一份並測試。
官網的入門例子，是問代理 Windows 小算盤為什麼 200 + 10% 會得到 220。REA 回傳處理函式的指令與呼叫關係，代理解釋：按下加號後，% 取的是第一個數字的百分比，200 的 10% 是 20，200 + 20 就是 220。
安裝僅需一行指令 npx rea-agents setup，支援 Claude Code、Codex、Cursor 等。分析原生執行檔還要搭配 Hopper、Ghidra 或 IDA 其中一套分析引擎：Ghidra 免費，Hopper 與 IDA 是商用軟體，README 寫明用戶必須自行合法取得授權。
README 的表格列了 22 類可分析的目標，包括 Android APK、韌體、網站，還有 EVM bytecode，也就是以太坊智能合約編譯後的位元組碼，REA 能回傳其中的函式選擇器與推測的引數。
為什麼 10 天衝到 17 萬顆星？
REA 的倉庫 4 月就建立，起初沒人注意。轉折在 10 月 3 日，專案發表近兩個月來第一個新版 3.2.0。10 月 4 日單日增加 1,373 顆；10 月 8 日增加 10,788 顆，第一次單日破萬；10 月 12 日增加 52,186 顆，是單日最高。
npm 下載量跟著暴衝：10 月 5 日到 11 日一週就有 132,518 次，在那之前的三個多星期合計約 1,600 次。
是誰點了第一把火，公開資料看不出來。看得到的是幾個讓它越燒越旺的條件：
第一是賣點好懂：README 的標語，就是看到喜歡的功能，叫 AI 去查它怎麼運作。這把逆向工程從資安專家的工作，變成一般開發者的產品研究。
第二是時機，同一時期正是 AI 反編譯熱潮，動區先前報導過《決勝時刻：現代戰爭 2》反編譯專案用 17 個 AI 代理同時作業。
第三是專案本身有話題：開發者 morluto 在 X 上說，REA 是他和另一位開發者用兩個 Codex Pro 訂閱做出來的。
起飛之後，討論與影片再推一把。10 月 10 日有人把 rea.tools 貼上 Hacker News，拿到 789 分、333 則留言；美國時間 10 月 12 日，程式類 YouTube 頻道 Fireship 也上傳影片，標題大意是地球上每個 App 現在都開源了，不到一天就有約 124 萬次觀看。
它真的什麼都能拆嗎？
官網展示的案例規模都不大，例如還原 1996 年遊戲 DX-Ball 一支把磚塊位置換算成左右聲道的函式，重建的程式碼與原版比對 3,205 組測試全數過關。這些案例還原的都是一個函式或一條呼叫路徑，不是整套軟體，DX-Ball 專案自己也寫明可玩的版本還在做。
社群專業的人看法不一。
Hacker News 用戶 fwlr 認為，它多半沒有比直接叫 Claude 用 Ghidra 好，瞄準的是本來沒有逆向方法的人；用戶 tptacek 則說，Ghidra 可以當流程核心，但至少目前，還需要比讓 Claude 自由發揮更多的東西。另一位用戶 SyzygyRhythm 說，他沒用 REA，直接把執行檔交給 Claude，就修掉困擾他近十年的兩個 bug。會拆的是模型，REA 是把流程包好。
另外，合法界線是爆紅之後才補上：README 的合法用途說明 10 月 7 日才加入，完整的免責條款 10 月 12 日才進倉庫。條款列出專案不支援、也不協助規避 DRM、授權檢查與反作弊機制，遇到這類 issue 會直接關閉，並提醒拿到像原始碼的輸出，不代表取得原程式的權利。
總的來說，目前展示的是一個函式、一條路徑的還原，離整套能用的軟體還有距離；能拆到哪裡算合法，條款也才剛開始寫…。
📍相關報導📍
AI 代理灌爆 GitHub：9 月提交量是去年 5 倍多，Git 儲存底層將重寫
Anthropic 鬆綁最強模型 Mythos：資安人員分三級申請，個人也有資格
