REA：Agent 逆向工程工具鏈，從行為證據到相容重寫與本機隱私邊界

一頁結論

REA（Reverse Engineer Anything）是讓 Coding Agent 透過 CLI／MCP 調查軟體行為的工具層，不是「一鍵還原源碼／複製 App」。適合有權分析的舊系統、格式互通、行為文件化與相容重寫。核心價值是把反編譯、呼叫關係與觀察證據帶入同一個 coding session；最後的重寫仍由 Agent 的一般編輯／測試工具完成。

查核日期：2026-10-06（Asia/Taipei）。本次固定源碼 commit feeb19b8b3172b2827b80fde8f09570ce5aeed88；npm registry 的 latest 回傳 rea-agents 4.0.1。這是當時快照，不保證未來版本相同。

原貼與留言範圍

來源是 @vincent_aidev 的 Threads DeG_zrTG5zm，由分享連結 BAM9-rFln5 解析。貼文主張 MIT、CLI＋MCP、Decompile／Understand／Recreate，以及分析本機進行、不上傳。公開頁可讀原文，但雖顯示一則回覆，未提供可讀留言；此篇不能聲稱已覆蓋完整評論區。來源頁的 GitHub 預覽不是實測影片。

官方資料確認的能力

• REA 整合原生二進位、JavaScript／Electron、.NET 與網站分析；原生深度分析依賴 Hopper 或 Ghidra，不是 REA 自帶獨立反編譯引擎。
• 官方明確區分恢復偽代碼、組合語言、字串、符號與關係，和恢復原始源碼；不承諾自動複製整個應用程式。
• 設定精確選中的 Agent、MCP 註冊與工作流之前，setup 先顯示變更計畫與路徑，保留既有設定備份。Hopper 安裝是另一項選擇。
• 原生分析主要支援 macOS／指定 Linux；Ghidra adapter 在 macOS x64／arm64、Linux x64 提供 22 個唯讀操作。Windows Ghidra 分析仍被封鎖，不能把套件可裝等同功能可用。

必須校正的宣傳解讀

本機分析不等於全鏈路不出網

README 承諾不把 App 交給 REA 託管分析服務；但 Agent／模型供應商有各自資料政策。若把反編譯結果、字串或證據送到雲端 LLM，仍可能有資料外傳。setup／npm 更新與可選 Hopper 下載也需要網路。採用前應把分析程序、MCP 工具輸出、模型推論端點、日誌四層分開檢查。

MIT 不代表目標 App 的授權也被取得

MIT 是 REA 本身的程式碼授權。Hopper 為另行授權的軟體；目標程式、素材、商標與第三方依賴不因使用 REA 而取得重用權。這是工程權限邊界，不是個別案件法律判定。建議先用自有或明確獲授權 fixture，避免把研究變成直接拷貝他人受保護內容。

三個月 3.6k stars 不是永久屬性

GitHub API 在本次查核回傳 repo 建立時間為 2026-04-14，stars 為 5,214。原貼數字可能是較早快照；不以這些人氣數字證明準確率、安全性或成熟度。

安全邊界與導入要求

SECURITY.md 明言 local bridge 使用 capability token 與目前使用者的 Unix socket，但「不是 sandbox」。同一 OS 使用者的惡意程序不在這個隔離保證之內；打開不可信 binary 是讓 provider 以使用者權限解析它。Process Capture 會執行指定目標，也不是安全沙箱。應在拋棄式 VM／隔離帳號測試，不給生產憑證、私人資料或廣泛檔案權限。