REA | 爆火GitHub 17万星标，MCP服务端，AI Agent自动逆向二进制程序
前言
近期GitHub开源项目REA（Reverse Engineer Anything）短时间斩获17万星标，登顶GitHub Trending。它作为MCP服务端，把Ghidra、IDA、Hopper等逆向工具封装成AI Agent可调用接口，让Cursor、Claude Code等AI智能体自动完成二进制逆向分析。工具能力强大，但存在明确法律边界，仅可用于授权范围内的安全研究。
GitHub爆火REA：17万星标的AI逆向工具，大模型自动分析二进制
最近GitHub一个逆向工程开源项目REA（Reverse Engineer Anything，逆向一切）快速出圈，短时间收获17万星标，成为安全与AI Agent圈讨论热点。很多人误以为它是一款全新反编译引擎，实际上REA更像一座桥梁，打通大模型与传统逆向工具。
项目仓库：morluto/rea，MIT协议，2026年4月创建，10月迎来爆发式增长。核心定位是MCP服务端，将Ghidra、Hopper、IDA等经典逆向工具封装成标准化工具能力，直接对接Cursor、Claude Code这类AI编码Agent。使用者无需手动在逆向软件中点来点去，可让AI自主规划并执行逆向任务。
✨ 核心能力
REA无需源码，支持17类文件逆向：原生二进制、APK、JS/Electron程序、HAR抓包文件等。 整套自动化逆向流程：
- 自动调用底层逆向引擎，执行静态反编译，提取伪代码、函数、字符串与调用关系；
- 支持动态行为观测、内存读取、IPC和网络协议追踪；
- 由大模型整合信息，输出带证据的分析结论，甚至生成参考复刻代码，并主动标注分析短板。
分工逻辑很清晰：AI负责思考、规划、解读伪代码；Ghidra/IDA负责底层二进制拆解，两者配合完成逆向。
🛠️ 快速上手安装
前置依赖 Node.js 22.19+/24.11+/26+；底层逆向引擎三选一（免费推荐Ghidra；Hopper、IDA为商业软件，需自备授权）；APK分析额外安装JDK+JADX。
REA不会自动下载Ghidra/IDA，需要本地提前安装并配置环境变量。
体验推荐用npx直接运行，无需全局安装：
▼bash复制代码# 引导安装，自动注册至Cursor / Claude Code npx rea-agents setup # 环境自检 npx -y @morluto/rea doctor # 启动MCP服务，供AI Agent连接 npx -y @morluto/rea mcp
全局长期使用：
▼bash复制代码npm install --global rea-agents rea setup rea doctor rea mcp
CLI直接分析文件（不调用AI）：
▼bash复制代码rea decompile /path/to/your_binary 0x100003f20 rea analyze /path/to/target.apk
安装完成重启AI Agent，MCP自动注册，即可直接对话调用REA。
⚖️ 重点：合法使用边界
依据《计算机软件保护条例》第十七条：软件合法复制品所有人，为学习研究软件设计思想原理，可实施逆向。但场景有严格限制。
✅ 合法使用场景
- 自己拥有完整版权的程序，用于漏洞自查、逻辑审计；
- 获得著作权人书面授权，开展安全审计、兼容性开发；
- 恶意样本威胁情报、安全研究（禁止传播恶意程序）；
- 软件互操作、开发兼容插件；
- CTF竞赛、教学靶机学习；
- 开源二进制审计，校验编译产物和源码一致性。
❌ 严禁使用场景
- 逆向商业软件破解激活、DRM，制作注册机、盗版；
- 未经许可提取算法逻辑直接商用；
- 逆向竞品游戏、App用于不正当竞争；
- 利用逆向成果实施入侵、爬虫、服务器攻击；
- 逆向带有NDA保密协议的软件；
- 公开发布逆向得到的密钥、核心算法。
⚠️ 风险与局限
- AI幻觉：REA只提取伪代码，AI的分析结论会存在幻觉，所有结果必须人工复核。加壳、高强度混淆程序，分析效果会大幅下降。
- 数据安全：二进制、反编译内容会进入大模型上下文，涉密内部文件禁止接入云端大模型，只能搭配本地大模型使用。
- 商业工具版权：Hopper、IDA是付费软件，REA不提供授权，使用盗版逆向工具本身违规。
📌 小结
REA最大价值是降低逆向工程的操作门槛，把大量重复手动逆向操作交给AI Agent自动调度。对安全研究员、逆向学习者而言是高效辅助工具。
但工具本身没有善恶，门槛降低同时也带来版权滥用风险。使用REA务必守住法律底线，仅在授权场景内使用，同时不能完全信任AI输出，人工复核必不可少。
