AI逆向工程新工具REA：让Claude克隆任意App

在AI编程助手日益普及的今天，一个名为REA（Reverse Engineer Anything）的开源项目突然在GitHub上爆火，新标数突破76000，冲上趋势榜第一。它能让Claude Code、Codex或Cursor等编程代理深入几乎任何应用程序的内部，理解其运作逻辑，甚至复现功能。B站UP主通过实测展示了REA的惊人能力，也暴露了AI安全机制的意外拦截。

REA是什么：给编程代理装上“透视眼”

REA的全称是“Reverse Engineer Anything”，即反向工程一切。它是一个MCP服务器（标准化的代理工具接口），提供多达139种工具，支持Electron应用、网站、安卓固件以及原生Mac、Windows和Linux程序。其ReadMe第一行写道：看到你喜欢的功能，彻底理解它底层的运作逻辑，一直到二进制层面，然后构建你自己的版本。

安装只需一行命令：npx rea-agent setup，它会展示方案并备份你的配置，确认后重启代理即可。UP主在Mac上新建文件夹，运行Claude Code的Opus 3.5版本，选定了笔记应用Obsidian作为目标——它是一个Electron应用，实际代码以14MB压缩包形式存在于应用内部。

UP主输入提示：“使用REA来理解Obsidian的快速切换器是如何在你输入时对笔记标题进行排名和匹配的，向我展示证据，然后制作一个小网页来重现同样的针对这30个笔记标题的匹配和排名逻辑。”

MCP（Model Context Protocol） 是由 Anthropic 提出并开源的标准化协议，用于让大语言模型以统一方式调用外部工具与数据源。在 MCP 出现之前，每个编程代理都要为每类工具单独写适配层，工具生态彼此割裂；MCP 把“工具描述—调用—返回结果”抽象成通用接口，代理只需实现一次客户端，就能接入任意符合规范的服务器。REA 正是以 MCP 服务器形态发布，因此能被 Claude Code、Codex、Cursor 等不同代理直接挂载使用。理解这一点很关键：REA 本身并不“理解”代码，它负责把应用内部结构（打包文件、语法树、IPC 通道等）整理成代理可查询的工具与证据，真正的推理仍由底层大模型完成。

Electron 应用指用 Web 技术（HTML/CSS/JavaScript）构建界面、再打包成桌面程序的一类软件，Obsidian、VS Code、Slack 等均属此列。其进程模型分为主进程与渲染进程：主进程拥有 Node.js 与操作系统权限，负责窗口、文件、菜单等；渲染进程运行网页代码，默认被沙箱隔离，两者通过 IPC（进程间通信） 传递消息。文中提到的“42 个消息通道”就是这些 IPC 通道，它们是应用对外部系统施加影响的必经关口。也正因为 JavaScript 代码以打包压缩形式随应用分发，REA 才能解包并做语法级分析——这是它把 Obsidian 作为首个演示对象的技术前提。

第一次测试：完美克隆搜索排名逻辑

起初进展顺利。Claude加载REA技能，REA拆解了整个压缩包，解析出390万个语法节点、1600个发现，以及记忆窗口与主进程之间的42个消息通道，仅用约一分钟。但随后Claude在映射图中追踪“Switcher”一词时，反馈为空——零匹配。REA的映射图并未索引压缩包里的每一个字符串。

Claude没有放弃，也没有胡编乱造。它把打包文件解开，直接逐字节读取3.7MB的压缩版JavaScript。最终找到了那条链路：命令是app.commands.executeCommand('switcher:open')，它会执行一次模糊搜索——你的查询会被转成小写，然后拆成单词，每个单词都必须按顺序出现在标题里。如果那样不行，它就逐个字母递失，然后再打分：每次匹配都从零分起步，然后扣分，每多出一个片段扣一分，每个从词中间开始的单词要扣十分之一，匹配位置越分散扣一点，起始位置越靠后也扣一点，分最高的赢。

Claude把网页做出来了，还做了UP主没要求的事：把Obsidian的原始函数和它自己的副本并排跑了一遍，覆盖全部30个标题和4915次查询。排名列表一样，分数一样，高亮一样，每次都是如此。UP主输入“rev”然后是“每周回顾”，再是“设计评审”，再是“装修”；又输入“DN”阅读清单，结果压过了“每日笔记”——这是Obsidian的一个真实怪癖，而这个副本只用了2分11秒。

第二次测试：AI安全机制意外拦截

第二个测试才是关键。UP主想知道Obsidian的窗口被允许在背后让系统做些什么。他输入提示后，Claude一秒钟就找到了全部42个通道，还精确定位了每个通道在代码里的处理位置。Claude开始读这些处理程序，写映射图，然后事情发生了——被中断，被安全分类器拦下。Opus 5.5的安全机制把这次会话标记了一条说明，解释说它有时会标记一些工作其实跟黑客行为毫无关系，并提议切换到Opus 4.8。

模型自己认定，模型分析一个应用能对机器做什么，看起来太像一次攻击了。UP主切到Opus 4.8又跑了一遍，这次跑完了：42个通道分成4组——15个涉及文件系统（把文件复制进应用文件夹、写图标、把东西移到废纸篓、创建或重命名仓库文件夹），一个叫RequestUrl的能让窗口通过主进程发送任意网络请求（任意地址、任意请求头、任意内容），一个Register命令行会执行一条Shell命令把Obsidian添加到你的路径里，每一行都指向代码里的确切位置。

这些都不是缺陷，Obsidian需要这些入口才能成为一个笔记应用。关键在于，一个应用能对你的电脑做什么的完整地图，连通代码位置，现在只需要一个提示词，而你发布的每个应用都能有同样的地图。Obsidian还是简单的例子，因为JavaScript应用自带代码。REA自己的案例研究走得更远：Notion的剪贴板流程、90年代Windows游戏DXBall的声音调用、Windows计算器的百分比逻辑——在REA之前你得读汇编，现在直接问智能体就行。

安全分类器（safety classifier） 是部署在模型调用链路上的独立判别组件，它在主模型生成前后对输入意图与输出内容打分，命中高危模式时中断或改写会话。与模型自身“拒绝回答”不同，分类器是外挂的、规则与训练数据可独立更新的过滤层，因此常出现误伤：本次会话中，分析应用权限映射在语义上接近攻击面枚举，被判定为可疑行为。厂商通常提供降级或切换模型的兜底路径（文中即切到 Opus 4.8），但这意味着同一任务在不同模型版本上的可完成性并不一致，做逆向或安全研究时需要预先考虑这一不确定性。

限制与伦理：REA能做什么，不能做什么

REA有三个明确限制。第一，它不会把原始源代码还给你——没人能做到。你拿到的是伪代码、地图、调用路径和证据，智能体还得自己动脑。第二，证据文件很大，Obsidian的就超过500MB，REA会存起来给智能体一份摘要，但磁盘空间要提前规划。第三，查看软件内部来了解工作原理是正常的工程做法，很多地方出于学习目的和兼容性目的是允许的，但把别人的代码抄进你的产品或者破解许可证检查就不行了。先读一读你指向的那个应用的许可证。

UP主把视频里每个提示词都放进了一张免费的单页表，包括设置行、两个Obsidian提示词、一个网站提示词、一个原生二进制文件的提示词。

REA的爆火反映了开发者对“黑盒应用”的长期无奈——你每天用的某个应用有一个你很想加进自己项目的功能，但它是封闭的，你能看到它能做什么，对它是怎么做到的却一无所知。REA把这种逆向工程的过程压缩到几分钟，同时把伦理和安全问题摆上台面：你会在别人之前先拿这个对准你自己的应用吗？

反向工程的法律边界在不同司法辖区差异很大。以美国《数字千年版权法》第 1201 条为例，规避技术保护措施原则上被禁止，但设有互操作性、安全研究等例外；欧盟《软件指令》则允许为互操作目的进行反编译，且不得用于抄袭表达。中国《计算机软件保护条例》同样区分“学习研究”与“商业性复制”。实践中，判断标准通常落在目的（兼容/学习 vs. 抄袭/绕过授权）、手段（是否规避加密或许可证校验）与结果（是否产出实质性相似代码）三点上。REA 输出的是伪代码与调用路径而非原始源码，降低了直接复制的风险，但依据其证据重写出功能相同、结构相近的实现，仍可能落入侵权或违反许可协议的灰色地带。