REA没杀死软件，它杀死的是过去的生意，下面，软件全可能被迫开源

这两天我被一个东西反复刷屏。

先是我的粉丝群里有人丢链接，接着朋友圈也开始转，配的文案一个比一个吓人，什么软件完了、这些订阅都该死、以后谁也别想再为软件掏钱。

结果连着刷了两三天，到处都是这三个字母，REA。

我就有点坐不住了。

我干脆去把这个项目从头到尾翻了一遍。

先跟你说它有多火。

REA的全称是Reverse Engineer Anything，你可以理解成逆向一切，仓库在GitHub上，账号叫morluto。

我去看了它的涨星曲线，10月6号那天还不到一万颗星，到10月12号已经超过十一万，六天涨了十万颗，最快的一天，单日涨了四万多。

你可能对这个数字没概念。

我给你个参照，今年年初那个带着全民养龙虾、把整个AI圈都点燃的OpenClaw，你还记得吧，它最爆的时候，头三天也就涨了六万颗星。

REA比它还猛。

那它到底干了件什么事，能让这么多人上头。

简单来说，它让你手里的AI编程助手，比如Claude Code、Codex、Cursor这些，在拿不到一行业务代码的情况下，把一个软件给拆开，搞懂里面某个功能是怎么实现的，然后照着这个思路，给你自己的项目也做一个。

想想这个分量。

我们平时用一个软件，看到某个功能做得特别顺手，心里痒，想在自己的东西里也搞一个。

可你打开它的安装目录，里面全是编译好的二进制文件，一堆你看不懂的机器码，没源码、没文档，你连它从哪儿下手都不知道。

以前遇到这种事，基本就只能干瞪眼。

为了让你彻底明白REA干了啥，我先跟你聊点背景，别怕，不难。

程序员写的代码，是给人看的，有变量名、有注释、有结构。

但这个东西电脑是不认的，它要先编译，翻译成CPU能直接执行的机器指令，变成一个二进制文件，才能跑起来。

而在编译的过程中，你的变量名、注释、类型，全被丢掉了。

这事儿有点像烤蛋糕。

鸡蛋、面粉、糖，你把它们搅和匀了，塞进烤箱，出来一个香喷喷的蛋糕。

可你现在让我把这个蛋糕再变回鸡蛋、变回面粉，变不回去了，对吧。

所以严格讲，把一个二进制文件百分之百还原成原始的源代码，这件事在数学上就做不到，信息已经丢了。

那REA是怎么玩的呢。

它没有去硬刚这个把蛋糕变回鸡蛋的难题。

它做的事情其实很朴素，在你的AI编程助手和一大堆专业的逆向工具之间，架了一层调度。

我解释下这几个词。

逆向工具，就是专门用来拆开二进制、读懂机器码的软件，比如Ghidra，比如IDA，比如Hopper。

这些全是老家伙了，IDA从上世纪九十年代就有，Hopper能追溯到2011年，Ghidra是美国国家安全局2019年开源出来的。

这些工具都强得离谱，可它们有个共同的问题，难学，门槛高得吓人。

你得啃它们的API，得看得懂汇编，得在一堆字符串和符号里手动去追一条条调用链，来回切工具。

一个功能拆上几天是常事，这是安全研究员和破解者的专属手艺，绝大多数做应用的开发者，压根没那个时间去学。

REA干的，就是把这些老家伙的本事，接到了你的Agent手上。

它本身是用Type Script写的一个开源工具，MIT协议，一个命令行加上一个MCP服务器。

MCP你可以理解成一种通用的插头标准，有了它，Claude Code、Codex这些Agent就能自己去调用外面的工具。

装好之后，你要做的，就是对你的Agent说一句人话，比如帮我搞懂这个应用的离线搜索是怎么工作的，把证据给我看，再给我的项目做一个差不多的。

剩下的就没你啥事了。

Agent会自己去调对应的工具，最后把结论和证据一起交到你手上。

我去看了官方放出来的几个演示案例，挺开眼的。

我自己还专门跑去npm上翻了翻这个包，它叫rea-agents，我查的时候版本已经迭代到6.5.0了。

这仓库其实四月份就建了，中间安安静静躺了半年，一直到十月初更新了几个大版本，加了逆向手机App之类的功能，才突然一下炸了。

你看，这东西真不是凭空冒出来的。

到这儿，你可能已经摩拳擦掌，准备跟我一起喊软件要完了。

但别急，我接着往下翻，越翻越觉得有意思。

因为我发现，真正干逆向这一行的人，对REA的态度，和外面这群狂欢的人，几乎是反过来的。

他们集体在翻白眼。

我看到一个人，Elias Bachaalany，逆向工程教材《Practical Reverse Engineering》的合著者，早年就在IDA的开发商Hex-Rays干活。

REA被各路大号转得满天飞的时候，他也转了一条，配文就一个词，Hype，炒作。

然后他在下面列了一堆早就存在的东西，IDASQL、Binary Ninja SQL、还有完全免费的GhidraSQL，意思特别明白，这些玩意儿早八百年就有了，这帮人只是没见过世面。

说实话，他没冤枉人。

让AI接上逆向工具这件事，Ghidra MCP、IDA Pro MCP这些开源项目，去年就已经在做了。

REA真要论技术上的新颖程度，它更像是把前人早就铺好的路，攒吧攒吧，做得更顺手、更好装了而已。

我还看到一个狠人，Duncan Ogilvie，知名调试器x64dbg的开发者，也是IDA Pro MCP的作者，他说自己用IDA的MCP插件，大概一个小时，就把今年Flare-On的全部题目给解完了。

Flare-On是什么，谷歌旗下FLARE团队每年办的逆向挑战赛，题目大多取材自真实的恶意软件分析，难度圈内人都懂。

而且这事儿发生在9月26号，比REA爆火还早。

还有那批特别唬人的视频，说什么现在能在浏览器里直接玩《光环》《半条命》《GTA5》《使命召唤》。

我也去查了，GTA5那个浏览器版本，背后还站着2023年泄露出来的一份源码，未必全靠逆向，而且上线几个小时就被Rockstar的法务光速下架。

Activision、Bethesda的律师也都没闲着，自家游戏的浏览器版本，一个接一个被撤。

所以你得搞清楚，REA只是这一整波浪潮里，名字最响、传播最广的那一个。

同一周，整个AI逆向圈都在加速，可很多本来不属于它的功劳，在疯传的过程中，都被算到了它头上。

我们这代人看AI内容，越来越需要一点去伪存真的本事。

一个爆火的视频，到底是谁做的、用的什么工具、有没有掺别的东西，标题党是不会告诉你的。

那问题就来了。

一边是圈外人喊着天塌了，一边是圈内人撇着嘴说炒作。

到底谁对。

我翻完之后的感受是，两拨人，可能都对。

对一个干了一二十年逆向、天天跟IDA和Ghidra打交道的老手来说，REA真算不上什么天翻地覆的东西他自己可能早就在用了。

这是一条平缓的、连续的演进。

可你换个视角，对一个从来没打开过反汇编器、看到汇编代码就头大的普通开发者，这事儿就是从零到一。

我以前根本不可能去拆一个软件，现在我能了。

新不新鲜，革不革命，很多时候取决于你站在那道门槛的哪一边。

老手站在门槛里面，觉得这路我早走过了。

新人站在门槛外面，觉得这是一扇突然打开的门。

而REA真正新的地方，我觉得恰恰就在这道门槛上。

它把装这事儿变得极其简单。

一行命令，npx rea-agents setup，回车，选你正在用的那个Agent，点两下确认，配置就自动给你写好了。

你品品这个变化。

以前你想让AI帮你逆向，你得先自己是个会逆向的人，装IDA，配插件，还得知道该问什么问题、该怎么验证。现在你只要会用Claude Code就够了。

把REA推上GitHub热榜的，也根本不是安全圈，是我们这帮AI博主、科技大号，和一群压根没接触过逆向的普通开发者。

技术一点都不新，新的是用它的人。

这才是这个项目让我觉得最值得聊的地方。

不过，兴奋归兴奋，我还是得给你泼几盆冷水，因为有三样东西，它现在是真的跨不过去，你要是无视它们，是要吃大亏的。

第一样，是服务器。

你发现没有，REA能拆的，全是装在你自己电脑上、跑在你自己浏览器里的东西。

可现在的软件，尤其是那些复杂的SaaS，真正值钱的逻辑，根本不在你手里。

你想想支付宝、微信、抖音。

支付的风控模型、账户体系、推荐算法、社交关系链、内容分发，这些东西全跑在人家机房里。

REA把你手机里那个安装包翻个底朝天，它也扒不出抖音的推荐算法。

它能抓到的，只是客户端和服务器之间来来往往的请求和响应，至于响应背后的那套逻辑，它看不见。

第二样，是壳。

就算是本地这部分，做商业软件的人也不会干等着被扒。

加壳、混淆、反调试、完整性校验，还有专门的风控SDK，这些手段本来就是为了对抗逆向工具而生的。

前面说了，VMP那种高强度虚拟化保护，AI现在也啃不动。

这些手段防的是过去那些人，可现在对面是能24小时连轴转、不知疲倦的Agent，这场攻防以后会怎么演化，我也说不准，但至少眼下，门槛还是有的。

第三样，也是最要命的，是法律。

这块我得好好跟你说说，因为我觉得这才是REA最容易被人忽略、却最能要命的地方。

软件行业其实早就有一套应对这种事的成熟办法，叫净室开发。

什么意思呢，以前一个公司想做一个功能跟竞品差不多的软件，它会把人分成两拨。

第一拨人去拆对方的产品，但只许写功能说明书，不许碰代码。

第二拨人从头到尾没看过对方一行业务代码，只照着这份说明书，自己从头写。

两拨人中间，隔着一道墙。

这道墙看着麻烦，它其实是日后打官司时最重要的证据，用来证明我这新代码是独立写出来的，没抄你的。

而REA把这道墙给拆了。

你发现没有，在它的工作流里，读反编译结果的是这一个Agent，转过头去写新代码的，还是这同一个Agent。

中间没有任何隔断，没有那拨从没见过对方代码的人。

我在HackerNews上看到有人给这种做法起了个名字，叫洗知识产权。

我还看到一个正在复刻Photoshop的团队，人家内部明确规定，禁止成员使用Ghidra和REA，原因特别简单，就两个字，怕告。

版权这个东西，保护的是你代码具体怎么写，它不保护功能本身。

别人做了个特别好用的搜索，你自己琢磨着写了一个效果差不多的，单从版权讲，这不违法。

真正麻烦的，是你这份代码是怎么得来的。

你要是让Agent一边盯着人家的反编译结果、一边照着写，那这事儿就说不清了。

而REA自己的免责声明里，白纸黑字写的是为研究、分析和重建提供工具。

可重建这个词，你翻遍法条，找不到对应的豁免。

它把这个词写进了所谓的合法用途，然后把取得授权、遵守法律的责任，轻轻巧巧地全推给了你。

还有一层风险藏在数据上。

REA反复强调分析在你本机运行，这话没错，工具确实跑在你自己电脑上。

但Agent要理解这些分析结果，它就得把反编译出来的代码片段、调用关系、字符串，发给背后的模型服务商。

你要是拆的是客户托付给你的软件，或者是你签过保密协议的东西，光是这一步，可能就已经违约了。

我来给你数数这里面的几方。

项目说，责任在你；模型会拦你，但拦的标准不透明；被拆的软件公司，手里握着用户协议和律师函。

真正站在风险正中间的，只有那个敲下命令、发出指令的你。

网上有人给这事儿编了句特别精辟的话，我看完直乐，笑着笑着又有点笑不出来。

逆向AI做，牢用户坐。

聊到这儿，你可能会问，那按你这么说，软件公司的护城河到底还在不在。

我的看法是，护城河没消失，但它确实搬家了。

我看到技术专家徐昊有个观点，挺戳人的。

他说克隆能拿走的是代码，拿不走的是知识。面对一个没源码的软件，重点从来都落在别处，搞懂它到底在干什么、为什么这么干，比把它重写一遍要紧得多。

他还有一句话，我很认同，软件本身不是产品，软件里的知识才是。

这让我想起RedHat。

RedHat的代码，任何人都能下载，开源的嘛。

可这么多年，企业客户照样排着队给它付费。人家买的是什么，是生产环境能放心用的保障，是版本的生命周期管理，是兼容性，是补丁和更新，是出了问题能找到人、有专家兜底。

要是源码能拿到这门生意就做不下去，那开源的商业模式，早在几十年前就该死了，可它活得好好的。

所以护城河到底搬去了哪儿，我觉得是三个地方。

你对业务的理解，你和客户之间的信任，还有你长期把这个东西服务好、持续往下迭代的能力。

从你看不见我的代码，挪到了你拿不走我的理解和服务。

最后，我聊聊自己的判断。

我这几年有个越来越强烈的感受，Agent每学会一个新动作，就会有一群人冲出来喊，某某行业完了。

它能写代码了，程序员完了；它能剪视频了，剪辑完了；现在它能拆软件了，软件完了。

可真等你回过头去看，会发现实际发生的事，远没有标题那么戏剧化，却又比标题更根本。

真正在发生的，是那些专业工具，正在安安静静地排着队，被一个接一个接进Agent的手里。

去年是浏览器，是代码编辑器，今年轮到了反编译器、调试器。

我们总以为技术革命是某个模型在某一天突然智商爆表、横空出世，可它更像是一场静悄悄的、一个工具接着一个工具的接管。

没有惊天动地的一声响，只有某天你突然回头，发现整条街的工具都换了主人。

我还老想到开源这两个字。

几十年前，自由软件运动里那批人，Richard Stallman他们，把自己的源代码摊开给全世界，那是一种信仰。

他们相信分享，相信协作，相信这样能造出更好的东西。

那是一种被主动分享的开源，背后是信任，是社区。

而REA想要的，是让所有软件都事实上开源。

可这是一种被扒开的开源。

同样是源代码摊在阳光下，一种摊开了，换来一个社区。

另一种被扒开，换来一封律师函。

同样一件事，主动给，和被人扒开，是两个完全不同的东西。

而现在，一个做内容的人，在咖啡馆里，敲一行命令，Agent就开始帮你拆一个软件了。

那门手艺的神秘感，碎了一地，碎得比我想象中还要快。

所以绕回最开始那个问题，软件完了吗。

我是真的觉得，软件不会完。

人对好用的工具、对省心的服务、对出问题时有人兜底的那种安全感，这份需求不会消失。

真正在松动的，是另外一门更古老的生意。

就是我把代码编译成二进制，你看不见，所以你只能年复一年给我交钱这门生意。

那些躺在过去的成绩上、不更新、不投入的公司，克隆这件事早晚要落到它们头上，真正剩下的问题只有两个，什么时候轮到你，以及克隆你的那个人，会不会跑得比你还快。

而对普通人、小开发者、小团队来说，我反倒觉得这是个机会，而且是个很大的机会。

你现在可以拆开所有你崇拜的产品，去看它们到底是怎么被设计出来的，去搞懂那些高手藏在二进制里的心思。

三十美元，半小时，过去可能要一个安全团队折腾好几天的活儿，现在就摆在你面前。

我经常说，也一直相信，这个时代最迷人的地方就在这儿。

那些曾经高得吓人的门槛，正在一片接一片地塌下去。

你要做的是抬脚走进去，去玩，去拆，去动手。

所以如果以后再有人给你转REA，一脸激动地跟你说，软件完了，你可以把我今天这篇翻给他看。

你告诉他，软件没完。

但那个只靠不让你看见源码，就安安稳稳收钱的日子，是真的，快到头了。