rea 第1部分

你有没有过这样的时刻：在别人家的 App 里看到一个很想要的功能，心里琢磨“这到底是怎么做出来的？”——但对方的源代码你根本拿不到。rea（全称 REA，Reverse Engineer Anything，“逆向工程一切”）想回答的正是这个问题。它把逆向工程这件原本高门槛、重手工的事，交给了 AI 智能体（Agent），让你用自然语言提问，让智能体替你去拆解一个二进制程序、一个 Electron 应用、一个安卓包，甚至一个网站的运行行为，然后把结论连同证据一起摆到你面前。

这个仓库这一周新增了约 22.9 万颗 star，总 star 数已经冲到 37 万以上（README 里专门庆祝了“30 万 star”的里程碑，而仓库页当前显示 379.2k），毫无疑问是近期 GitHub 上最耀眼的项目之一。本篇作为系列的第一部分，先带你弄清楚：rea 到底是什么、为什么会这么火、它是怎么工作的，以及它的整体架构长什么样。后面两部分再分别深入技术亮点和具体上手。

一句话定位：一个面向逆向工程的 MCP

rea 的官方副标题写得很干脆：“One MCP for reverse engineering across binaries, applications, and runtime behavior.”——一个覆盖二进制、应用程序和运行时行为的逆向工程 MCP。

这里的 MCP 指 Model Context Protocol（模型上下文协议），是当下让大模型智能体调用外部工具的一套标准。rea 的核心身份，就是一个 MCP 服务器：你把它注册到自己的智能体里（比如 Claude Code、Codex、Cursor、Gemini CLI、Grok 等），智能体就获得了一整套逆向分析的工具。README 给出的典型用法非常直白：

Understand how search works in the Notes app, show me the evidence, and build a similar feature for my project.

翻译过来大致是：“搞清楚备忘录 App 的搜索是怎么实现的，把证据给我看，然后为我的项目做一个类似的功能。”你只需要把“Notes”换成你的目标 App、把“搜索”换成你想研究的功能，剩下的拆解、追踪、取证、实现，交给智能体加上 rea 完成。

值得强调的是，rea 并不是只能配智能体用。README 明确说这同一套工具也可以直接在终端里跑。比如检查一个解包后的 JavaScript/Electron 应用目录或 ASAR 包：

npx -y rea-agents@latest analyze-javascript-application /absolute/path/to/app --json

返回结果会包含模块、导入关系、Electron 的边界划分，以及支撑这些结论的证据。换句话说，rea 既是“智能体的工具箱”，也是一套可独立使用的 CLI。

为什么它会火？

一个逆向工程工具能在一周内收获二十多万 star，背后有几个叠加的原因，值得拆开来看。

第一，它踩在了 Agent + MCP 的风口上。2025 到 2026 年，AI 编程智能体几乎成了开发者的标配，而 MCP 让这些智能体能够“长出手脚”去操作真实工具。rea 没有自己发明一个分析引擎去和 Ghidra、IDA 这些老牌逆向工具硬碰硬，而是选择做“连接层”：把这些专业引擎的能力，通过 MCP 统一暴露给智能体。这种定位既借了智能体的东风，又复用了成熟工具的积累。

第二，覆盖面大得惊人。rea 能处理的目标类型，在 README 里列成了长长一张表——从原生二进制（native binaries）、Go/Rust 二进制、GPU 代码对象、模型文件（GGUF/safetensors），到 JavaScript/Electron 应用、.NET 程序集、安卓 APK、Flutter 应用、固件、网络抓包、SQLite 数据库……几乎把“一个程序可能以什么形式存在”都覆盖到了。一个工具能横跨这么多形态，对使用者的吸引力是实打实的。

第三，它强调“证据”而不是“猜测”。README 反复出现一个关键词：evidence（证据）。rea 返回的每一个结论，都会附带支撑它的证据和已知的局限性，并且分析默认在本地完成。对逆向工作者来说，一个会“编造”的工具毫无价值，而 rea 把“可追溯、可验证”放在了核心位置。

第四，有真实可查的案例。README 的 Showcases 一节给出了三个具体战例：复原 DX-Ball 游戏里声音声像（sound-pan）的计算（重建代码通过了 3205 个原始 x86 测试用例，并复现了全部 63 个编译后的函数字节）；追踪 Notion 这款 Electron 应用的剪贴板桥接链路；以及恢复 PC-98 老游戏 TH04 的“弹幕环”角度计算。这些不是空泛的宣传，而是带着重建仓库链接的可复现案例，极大增强了说服力。

它是怎么工作的？

rea 的工作闭环，README 的 “How REA works” 一节讲得很清楚：你的智能体通过 MCP 调用 rea 去检查目标、追踪相关代码；rea 把带着证据的发现返回给智能体；智能体再据此追问、解释行为，或者直接动手写出并测试一份实现。CLI 命令走的是同一套工作流。

把这个过程拆成几步大致是：

1. 你提问——用自然语言描述你想搞清楚的功能或行为。
2. 智能体调度 rea——根据问题选择合适的分析工具（静态读取、反编译、运行时观测等）。
3. rea 本地分析目标并取证——返回伪代码、汇编、字符串、符号、调用关系、模块依赖等，连同证据与“未知项”。
4. 智能体综合——解释原理、继续追问，或写出一份可运行、可测试的实现。

这里有一个设计上的细节很重要：rea 把“运行在本地”当成默认立场。README 的 FAQ 明确回答“rea 会不会上传我的 App？”——rea 在本地分析目标，智能体收到的是工具结果，至于智能体背后的模型服务商有自己的数据策略。也就是说，分析动作本身不出本地，这对处理敏感或受版权保护的软件是一个重要前提。

整体架构鸟瞰

rea 用 TypeScript 编写（npm 包名为 rea-agents，仓库快照对应版本 6.7.0），其架构文档 docs/architecture.mermaid 画出了清晰的分层。虽然细节会放到第二部分展开，但先建立一个整体印象很有帮助。

• **入口层（Entry Points）：**一个可执行分发器 scripts/rea.mjs 负责把请求路由到两条路径——要么是一次性的 CLI（src/cli.ts，做安装、诊断、分析、反编译），要么是 MCP 服务器（src/main.ts，默认走 stdio，也可选 HTTP）。
• **组合层（Composition）：**src/composition/ 负责“新鲜地”装配出各种类型化的 provider 和会话工厂，按需独立加载可选能力。
• **应用层（Application）：**承载 CLI 与 MCP 共享的工作流，这里有会话路由（SessionProviderRouter）、分析 provider 注册表（AnalysisProviderRegistry）、以及负责证据账本（EvidenceLedger）和未知项归属的“调查记录”（InvestigationRecords）。
• **Provider 层：**一大批适配器，分别对接 Hopper、Ghidra、IDA、Kuna 等原生反编译引擎，以及浏览器抓取、.NET 静态元数据、Go/Rust/IL2CPP 等内置静态读取器。
• **进程基础层（Provider Process Foundation）：**src/process/、src/filesystem/、src/windows/ 提供受控的进程组、私有根目录、有界文件读取、超时与清理等底层保障。
• **契约层与领域层（Contracts / Domain）：**src/contracts/ 定义对调用方可见的各类工具 schema，src/domain/ 则是纯粹无副作用的领域模块（格式声明、证据、比较、应用图谱等）。

可以看出，rea 不是一个“脚本拼起来”的小工具，而是一套分层清晰、强调边界与证据的工程化系统。这也解释了它为什么敢号称“逆向一切”——每接入一种新目标形态，本质上就是在 Provider 层加一个遵循统一契约的适配器。

能分析什么：一张“目标地图”

README 的 “What you can analyze” 一节是理解 rea 能力边界最好的入口。它把支持的目标列成了三十多行的表格，每一行都写明“rea 返回什么”以及“需要什么前提”。逐行介绍没有必要，我们按大类梳理一下，你会对它的野心有更直观的感受。

原生程序这一大类。最核心的是原生二进制：rea 能返回伪代码、汇编、字符串、符号、调用和引用关系，但前提是你本机装有 Hopper、Ghidra 或 IDA 其中之一，深度反编译交给这些成熟引擎完成。围绕原生程序，rea 还提供了一批不依赖外部引擎的“内置静态检查”：比如从 Go 二进制里读出嵌入的编译器版本、模块与构建设置（README 特别注明不需要安装 Go）；从用 cargo-auditable 构建的 Rust 二进制里读出依赖的 crate 名称、版本和依赖边；解析 Windows PE 文件的导入表和 Authenticode 签名证书；解析 ELF 的 note 段、Linux 内核模块的 .modinfo 信息；甚至能读出 CUDA/HIP 等 GPU 代码对象里的目标架构和内核参数。

游戏与跨平台框架。对游戏逆向爱好者来说，有几行特别亮眼：rea 能静态解码 Unity IL2CPP 的 global-metadata.dat（支持 24、27、29、31、39 这几个版本），列出程序集、类型和方法名，而且不需要安装 Unity；能清点并解包 Godot 的 PCK 资源包（格式 2、3、4）；对 Flutter 应用能读出 Dart 快照哈希和引擎构建来源。

应用与托管代码。JavaScript/Electron 应用可以恢复模块、导入关系、source map、路由、IPC 通道和原生插件之间的关系；.NET 程序集可以纯静态地读出元数据和 CIL 指令；PyInstaller 打包的 Python 可执行文件，能拆出归档成员、Python 版本、入口脚本和字节码。

移动端。安卓方向覆盖得相当完整：借助无界面的 JADX 反编译 APK 的类与方法，静态校验 APK 的 v1 到 v3.1 签名与证书指纹，通过用户自备的 adb 连接模拟器或真机查看进程、日志、截屏，搭配 Apktool 解码资源，甚至还能对接用户自己启动的 JEB 客户端。

网络、网站与“运行时”。网站方面，借助一个 Chrome 系浏览器观察页面结构、脚本和网络请求；已保存的 HAR、Fiddler 抓包、pcap 数据包也能被解析成请求、响应、DNS、TLS SNI 等信息；在 Linux/macOS 上还能捕获一个进程的终端输出、交互和文件系统行为，并对比两次运行的差异。

其他“冷门”但实用的对象。包括 GGUF/safetensors 模型文件的元数据与张量声明、SQLite 数据库的表结构与数据、Erlang BEAM 字节码、WASM 模块、EVM 智能合约字节码、Apple 的 .ips 崩溃报告、固件镜像（借助 Binwalk/Unblob）、逻辑分析仪录下的信号等等。

从这张地图里能读出 rea 的一个基本设计思路：能内置的就内置，必须依赖专业工具的就做适配，而且每一项都写清楚前提条件。静态 JavaScript 和 .NET 检查只读取你提供的文件、不运行程序；而运行时类的捕获会以你的用户权限去运行或交互目标，README 提醒每份运行时指南都会说明它的副作用。这种“把边界写在明处”的态度，和它强调证据的理念是一脉相承的。

本部分小结

这一部分我们建立了对 rea 的整体认识：它是一个面向逆向工程的 MCP 服务器兼 CLI，让 AI 智能体以“带证据、本地化”的方式去拆解几乎任何形态的程序；它踩中了 Agent + MCP 的风口，靠超大的目标覆盖面、对证据的坚持和真实案例迅速走红；工作上走“提问→智能体调度 rea→本地取证→综合实现”的闭环；架构上则是入口、组合、应用、provider、进程基础、契约与领域的清晰分层。

下一部分预告：我们会钻进这套架构内部，看看 rea 的几个关键技术亮点——provider 的确定性选择机制、它如何通过 Python/Java 桥接把 Hopper 和 Ghidra“驯服”成可编程的分析后端、证据账本是怎么工作的，以及它在进程隔离与安全边界上的设计取舍。