微信、支付宝、抖音……你敢相信吗？GitHub上最近爆火的一个开源项目，竟然宣称能威胁你手机里的所有App。这个项目就是REA，全称为Reverse Engineer Anything，意为“逆向分析一切”。该项目发布仅一天便收获了超过1.4万颗星，如今总星数已达4.1万，热度堪比OpenClaw。项目介绍称，任何一款App，只要让Agent用REA去研究，不需要源码，它就能逆向分析App，给出证据，并替你的项目做一个版本。
乍一听似乎只是复制App的功能和设计，但REA的本质是“逆向工程”。这意味着Agent能通过REA了解产品的安全漏洞，并据此发起攻击。此外，REA是一个开源工具，任何人都能下载，且没有操作门槛——直接把GitHub地址发给Agent，AI就能自己下载使用。
那么，REA到底是什么？它实际上是一个类似于Harness的“工具箱”，挂载在Agent之上。该工具很早就在GitHub发布，之所以近期爆火，是因为10月7日更新到4.1.0版本，随后几天又迭代至6.1.0版本。现在的REA已能逆向市面上绝大多数软件。它通过MCP协议接入Claude Code、Codex、Cursor、Gemini CLI等支持本地MCP服务的Agent，将大量逆向工具打包成工作流。其覆盖范围极广，包括原生二进制文件（返回伪代码、汇编、字符串等）、JavaScript和Electron应用（还原模块、路由、IPC）、网站（抓取页面结构、脚本、网络请求），甚至包括.NET程序集、Android APK、固件、EVM字节码等。
官方展示的案例包括对经典游戏DX-Ball音效声像函数的追踪，将不完整的伪代码还原为C语言；对Notion剪贴板桥的分析，还原了富文本剪贴板的格式；以及对PC-98老游戏东方风神录弹幕角度计算的还原。这些案例的共同点在于程序本身体量不大、结构相对清晰。
REA的作者并非黑客，而是GitHub用户morluto，其研究方向为Agent、强化学习环境和偏好学习。开发REA的初衷是给Agent提供“工具”。除了REA，morluto还开发了面向Agent的纯数学工具Jacobian、代码上下文工具LeanToken等。REA爆火当天，社区涌现大量开发者，通过REA逆向Adobe家族并克隆出功能相近的软件，甚至开始分析谷歌全家桶、Claude Code以及微信、支付宝、抖音等国民App。
很多人担心“逆向就是破解，肯定违法”。其实不然。逆向本身不等于违法，关键在于用途和授权。在国内，软件的合法复制品所有人为了学习研究软件的设计思想，可以不经许可使用，但将逆向得到的代码直接复制、改写后发布则侵犯著作权。若分析线上系统并用于攻击、抓取服务器，则触犯刑法。国外法律也类似，允许出于研究和互操作目的的逆向，但禁止非法获取、牟利和未授权入侵。
那么，REA对支付宝、微信、抖音这些国民App有什么影响？别慌，虽然社区已开始逆向分析这些App，但它们的核心（风控模型、推荐算法、社交关系链）都在服务器上，而非手机客户端。REA分析的是安装包，对云端逻辑无能为力。即便能抓包分析，也只能看到客户端与服务器之间的请求响应，看不到服务器内部逻辑。国民级App都有代码混淆、加壳、反调试、完整性校验以及专门的风控SDK，这些防护手段正是为了对抗逆向工具。
不过，单个Agent难以对抗社区的力量。REA背后是AI Agent，它能24小时连轴逆向分析。虽然功能本身难以复制（微信靠生态，支付宝靠牌照，抖音靠算法），但“体验层”的东西（交互细节、加载机制、缓存策略）对REA来说易如反掌。逆向工具是一把双刃剑，既能帮助安全研究员发现漏洞，也可能被黑产利用。REA能把成千上万个函数和调用关系过一遍，列出“可疑点”，这对筛选线索很有帮助。
但现实中存在三道坎：一是加固与混淆导致代码残缺难读，Agent容易“看走眼”；二是漏洞的真正价值多在服务端，需与线上服务交互验证；三是误报，REA能提出“可疑”但不能保证“可利用”。如果真被发现漏洞，影响取决于漏洞层级：第一类是客户端逻辑漏洞（如绕过校验），影响体验与公平性；第二类是接口与服务端漏洞（如越权、签名破解），可能导致批量数据抓取、资金风险；第三类是供应链漏洞，利用App集成的第三方组件漏洞影响整串产品。
REA虽明确表示必须合法使用，但开源工具无法控制使用者。如果你是普通用户，无需担心，账户安全仍靠服务器端风控；但对于大厂来说，REA无疑是一个巨大的威胁。