AI 读取程序内部：用 REA（Reverse Engineer Anything）看'回传证据'的 agent 工具设计与不可逾越的界线

关于这个案例

本周 GitHub 趋势第一，仅一天就获得 2 万 5 千颗星的 REA（Reverse Engineer Anything）。这是一个 MCP 服务器，让编码 agent 在没有源代码的情况下读取可执行文件、Electron 应用、.NET、Android 应用、网站，并说明其行为。本视频看的不是用法，而是三件事。每条结果都把'看到的、推断出的、不知道的'分开回传的 Evidence 记录，以及防止 agent 越界猜测的 MCP 契约设计。同一周涌现的 AI 反编译、vibe coding 游戏复制品与发行商的应对。以及在读取程序内部的成本已经降低的现在，应如何看待交付到用户设备上的代码。

涵盖内容

• REA：GitHub 趋势第一（一天 ★25,784），Hacker News 647 分
• 逆向工程 MCP 服务器：连接 Claude Code、Codex，Ghidra、IDA、Hopper 引擎，分析在本地
• 观察是工具，解释是模型
• 展示：Chrome 恐龙游戏速度规则（6 → +0.001 → 13），Windows 计算器 % 按钮，DX-Ball 3,205 个案例
• 设计 ①：Evidence 记录 — 将观察、推断、未解决的问题分开记录
• 设计 ②：可用性契约 — 已配置 ≠ 已支持，进行中 ≠ 已就绪，超时 ≠ 已停止
• 同一周的另一面：类似 Fallout 的浏览器游戏下架，Modern Warfare 2 反编译视频版权投诉
• 编写前的三个问题：权限 · 原始资产 · 分发
• 防御视角：应用中的 API 密钥、生产 source map、画面侧检查 — 检查与机密放在服务器上
• 我们团队将带走的 3 件事

章节 00:00 GitHub 趋势第一 REA 00:34 面向 agent 的逆向工程 MCP 服务器 01:19 观察是工具，解释是模型 01:48 展示：Chrome 恐龙游戏 02:11 展示：计算器 % 按钮 02:49 设计 ①：不要只回传结论 03:26 设计 ②：防止越界猜测的约定 04:05 AI 制作的游戏复制品 04:43 许可与守法的界线 05:19 交付到用户设备上的代码不是机密 05:57 我们团队将带走的 3 件事 06:31 总结

参考资料

• REA 官方网站：https://rea.tools/
• REA 仓库：https://github.com/morluto/rea
• MCP 契约文档：https://github.com/morluto/rea/blob/main/docs/mcp-contracts.md
• CLI and Evidence：https://github.com/morluto/rea/blob/main/docs/cli.md
• Kotaku，Activision、Bethesda 应对：https://kotaku.com/activision-and-bethesda-crackdown-on-genai-mw2-and-fallout-projects-2000739580
• OWASP Secrets Management Cheat Sheet：https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html

频道：AI-Native Software Engineer https://www.youtube.com/channel/UCQBZdu2hpBHGY5rjBN4xk7Q

※ 本视频是基于公开原文（官方网站、仓库文档、报道）由 AI 制作脚本、语音、动画的摘要内容。并非所提及企业或项目的官方视频，准确内容请确认原文。展示数值为 REA 方面的演示，不构成法律建议。逆向工程请仅针对已确认权限和许可证的目标进行。