6 天发 4 个大版本、npm 周下载破万：26,932 星的 REA，把 Ghidra 和 Hopper 变成了 Claude Code 的一只手

如果你在用 Claude Code 或 Codex，最近一周 npm 上多了一个值得留意的包：rea-agents。它背后的仓库 morluto/rea（REA，Reverse Engineer Anything）把 Hopper、Ghidra、JADX 这些逆向工程工具封装成一个本地 MCP 服务器，让编程 Agent 能直接反编译二进制、拆 APK、追 Electron 应用的 IPC。仓库 2026 年 4 月 14 日创建，如今 5 个多月攒下 26,932 颗星、3,056 个 Fork，今天（10 月 9 日）北京时间 09:08 刚发 6.1.0 版——这已经是 6 天里的第 4 个大版本（4.0.0 → 5.0.0 → 6.0.0 → 6.1.0）。

npm 数据更能说明它的热度曲线：rea-agents 最近一周（10 月 1–7 日）下载 10,330 次，而最近一个月（9 月 8 日–10 月 7 日）总共才 10,743 次——也就是说约 96% 的月度下载集中在刚刚过去的一周里，冷启动式爆发。

它的工作方式很直接：npx rea-agents setup 把 MCP 服务器和配套工作流指令注册进你的 Agent（支持 Claude Code、Codex、Cursor、Gemini CLI，6.1.0 又加了 Grok Build 和 Grok Bot），然后你用自然语言提问，比如”搞清楚 Notes 应用的搜索是怎么实现的，给出证据，再给我的项目做一个类似的”。Agent 调用 REA 检查目标、拿到带证据的结论，再继续解释或写实现。README 特别强调每个结论都附带证据和局限，不声称能还原源码。

覆盖的目标面相当宽，共 13 类：原生二进制（伪代码/汇编/符号）、离线 ELF 布局、EVM 字节码、JS/Electron 应用（模块、source map、IPC 关系）、网站结构与网络请求、HAR 抓包、.NET 程序集、Android APK（走无头 JADX）、固件（Binwalk/Unblob）、进程行为录制等。官方 Showcase 里最有说服力的是 DX-Ball 声像计算还原：从一个声音调用追进声像辅助函数，把残缺伪代码补成 C，重建版通过了全部 3,205 个原始 x86 用例，逐字节复刻了 63 个编译函数字节；还有 TH04 的 DOS 弹幕角度公式（16 位 PC-98 指令）和 Notion 的 Electron 剪贴板桥追踪。

先说边界，这决定了你该不该碰它。 深度原生分析必须有 Hopper、Ghidra 或 IDA 中的一个：Hopper 是商业软件（setup 可在你批准后代装，首次启动会弹 demo/激活选择），Ghidra/IDA 用你已有的安装；纯静态的 JS 和 .NET 检查不需要任何反编译引擎。环境门槛不低：Node.js 必须 22.19+/24.11+/26+，Android 分析从 5.0.0 起要求完整 JDK 17+（含编译器模块）。迭代快也是双刃剑——6.0.0 的破坏性变更要求 MCP 文件系统入参一律使用绝对路径（./app 这种写法直接失效），Hopper 正则模式也换成了 ECMAScript Unicode 语法。写进 CI 或脚本的用法，请锁死版本号，别追 latest。

能力边界也要诚实：逆向工程行业评测（Promon Security Research）显示，顶级模型对未加保护代码的还原成功率约 72%–86%，一旦加了混淆就掉到 20%–36%。REA 解决的是”让 Agent 有工具、有证据地分析”，不是”绕过混淆的魔法”。另外别忘了法律边界：只分析你有权分析的目标——自己的应用、授权审计、CTF、兼容性研究。

社区的真实反响有点分裂。 Hacker News 上它被提交过至少三次（Show HN: A MCP for Agents to reverse engineer binary code），但每次只有 3–4 分、0 条评论，硬核社区对”AI 逆向”仍持观望；另一边是短视频和社媒在快速扩散——YouTube 上 6 小时前刚发了 REA 使用视频，X 有 4 天前的介绍帖，Reddit 的 r/BestGitHubRepos 帖子 11 小时前还在涨。它还被 skills.sh 收录为标准 Skill。

适合谁：想搞清竞品某个功能实现的独立开发者、做兼容性/协议还原的工程师、CTF 选手、需要审计 Electron 或 APK 但不愿手动开 IDA 的人。不适合谁：追求稳定 API 的生产流水线（6 天 4 个大版本）、目标是高强度混淆样本的人、没有合法分析权限的人、以及机器上还没有 Ghidra/Hopper 又不愿意装的人。

下一步建议：先跑 npx rea-agents@latest setup（它会备份现有配置）；挑一个你自己拥有的 JS/Electron 应用目录，用 npx -y rea-agents@latest analyze-javascript-application /absolute/path/to/app --json 单独验证 CLI 输出——这条路径不需要任何反编译引擎；确认有价值后再考虑接 Hopper/Ghidra 做原生分析，并在配置里锁定当前版本。完整指南见 rea.tools/guides，仓库在 github.com/morluto/rea。