GitHub上最近出现了一个火爆的开源项目，能够威胁到微信、支付宝、抖音等手机里的各类App，这听起来令人难以置信。

该项目名为REA，即Reverse Engineer Anything的缩写，中文意为“逆向分析一切”。上线仅一天，其星标数便突破1.4万，目前总数已达4.1万，热度与2、3月份的OpenClaw不相上下。

项目介绍中写道，任何一款App，只要让Agent使用REA进行研究，即便没有源代码，也能实现逆向分析，提供证据，并替用户的项目制作一个版本。

乍看之下，这似乎只是复制App的功能和设计，但REA的本质是逆向分析。这意味着，Agent可以通过REA了解产品的安全漏洞，并据此发起攻击。

更令人担忧的是，REA作为开源工具，任何人都可以下载，且操作门槛极低。只需将REA的GitHub地址发送给Agent，AI便能自行下载并使用。

难道说，我刚在微信上抢到的红包，会被别人用REA拿走吗？

别慌张，目前情况还没那么严重。

REA是什么？

REA实际上是一个类似Harness的“工具箱”，可连接在Agent上。它早已在GitHub上发布，之所以近期爆火，是因为10月7日更新至4.1.0版本，新增了大量功能，例如逆向分析手机App等。

仅过数天，REA便迭代至6.1.0版本，更新内容极其丰富。如今的REA，已能逆向分析市面上几乎所有的软件。

REA通过MCP协议接入Claude Code、Codex、Cursor、Gemini CLI等支持本地MCP服务的Agent，并将大量逆向工具交给它们调用。

这个工具箱覆盖范围广泛，包括原生二进制文件，可返回伪代码、汇编、字符串、符号和调用关系。同时，它也涵盖JavaScript和Electron应用，能还原模块、导入关系、路由和IPC。

REA还能逆向分析网站，抓取页面结构、脚本、网络请求。此外，它还能处理.NET程序集、Android APK、固件、EVM字节码、Linux崩溃记录等。

换言之，REA将所有逆向工程的分析工具打包成Agent可自行调用的工作流。

官方展示了几个案例。例如，用REA追踪经典游戏DX-Ball的音效声像函数，将不完整的伪代码还原成C语言，重建版本通过了3205个原始x86测试用例，编译后的63个函数字节也完全一致。

另一个案例是对Notion剪贴板桥的分析，从渲染进程的剪贴板API出发，穿过preload和IPC，一路追踪到主进程，看清富文本剪贴板的格式。此外，还有对PC-98老游戏东方风神录（TH04）弹幕角度计算的还原。

这些案例有一个共同点，即程序本身体量不大、结构相对清晰。

开发者也没有忘记免责声明。GitHub页面显示，REA仅用于合法的逆向研究，使用者需自行取得授权并遵守法律，项目不支持非法或未授权使用。

REA的作者并非黑客，其GitHub ID为morluto，研究方向是Agent、强化学习环境和偏好学习。

morluto表示，开发REA的初衷是给Agent做“工具”。

除了REA，morluto还开发了面向Agent的纯数学工具Jacobian、代码上下文工具LeanToken、运行时性能证据工具flameox、贡献前调研工具GitContribute、优化证据工具SmokingGun，以及面向交易Agent的研究基础设施Preference。

此外，他还为Triton、MCP TypeScript SDK、Qwen Code、Hermes、OpenClaw、Mooncake等众多知名开源项目提交过修复。

技术本无善恶。REA爆火当天，便涌现出无数开发者，通过REA逆向分析Adobe家族，进而克隆出许多功能相近的作图和剪辑软件。

尽管Adobe家族产品众多，但对于这几天社区用REA逆向分析的软件来说，不过是冰山一角。

有人用REA逆向分析谷歌全家桶，还有人逆向分析Codex、Claude Code。到了今天，微信、支付宝、抖音等一系列国民App，全都被社区用REA逆向分析了个遍。

很多人第一反应是“逆向就是破解，肯定违法”。但实际情况没那么简单，逆向本身不等于违法，关键在于用它做什么、是否获得授权。

在国内，软件的合法复制品所有人，为了学习和研究软件的设计思想和原理，可以不经著作权人许可使用它。

不过，将逆向得到的代码、资源直接复制、修改后再发布，就构成了侵犯著作权。

此外，如果逆向分析的是线上系统，性质就变了。分析后去访问、攻击、抓取别人的服务器，相当于触犯刑法中非法获取计算机信息系统数据、破坏计算机信息系统等罪。

换句话说，法律允许出于研究目的的逆向，但若将逆向结果用于商业用途或寻找产品漏洞以用于攻击，后果将非常严重。

国外情况类似。美国有DMCA限制规避技术措施，同时为安全研究留有例外。欧盟的软件指令则允许为实现互操作性进行有限的反编译。

全球计算机产业对逆向分析的逻辑相同：研究和互操作通常被容忍，复制、牟利和未授权入侵则不被允许。

REA对支付宝、微信、抖音的影响都有哪些？

不过别担心，虽然社区已有人开始逆向分析支付宝、微信和抖音，但这些国民App并非毫无防备。

支付宝、微信、抖音这类产品，真正的核心并不在手机上。

支付的风控模型、账户体系、推荐算法、社交关系链、内容分发，这些都在服务器上运行。REA分析的是用户手中的安装包，对云端服务无能为力。

即使REA能做到“网络抓包分析”和“网站分析”，也只能看到客户端与服务器之间的请求和响应，无法窥见服务器内部的逻辑。

换言之，即便REA将这些App翻个底朝天，也无法扒出推荐算法。

国民级App都采用了代码混淆、加壳、反调试、完整性校验，并配备了专门的风控SDK。

例如，支付宝涉及资金，客户端安全措施极其严格。微信有自己的协议加密和客户端校验。抖音有严格的请求参数签名。

这些防护手段，本身就是用来对抗逆向工具的。

不过，也不能因此掉以轻心。这些手段防的是人，但REA背后是Agent，它能24小时不间断进行逆向分析。

毕竟，好虎架不住群狼。

REA最大的卖点是“看到某个功能想要，让Agent搞明白它怎么工作，再做一个版本”。

对国民级App来说，功能并非壁垒。

微信的壁垒是十几亿用户都在用，支付宝的壁垒是金融牌照和商户网络，抖音的壁垒是内容生态和推荐系统。 这些东西，无法通过反编译复制过来。

然而另一方面，App里那些“体验层”的东西，比如某个交互细节、某个小程序的加载机制、某个本地缓存的策略，对于REA来说，逆向分析这些犹如探囊取物。

逆向工具终究是一把双刃剑。它既能帮助安全研究员发现漏洞，也可能被黑产用来分析App的接口和校验逻辑。

REA很有可能通过逆向分析，找到国民App们的漏洞。例如，某个校验只在客户端做了、某个本地存储的数据没有加密、某个接口默认信任了客户端传来的参数。

这类问题，恰恰是Agent擅长的方向。它们能将成千上万个函数和调用关系过一遍，列出“可疑点”。REA的设计初衷也是让Agent返回带证据的结论，这对筛选线索有帮助。

但现实中有三道坎。

第一道是加固与混淆，这会使获取的代码本身残缺难读，Agent在上面容易“看走眼”。

第二道是漏洞的真正价值多半在服务端，客户端找到的往往只是入口线索，要验证它，必须与真实的线上服务交互。

第三道是误报。REA能提出“可疑”，却不能保证漏洞“确实可利用”。大量线索最终会被证伪，真正有价值的漏洞仍需人来判断。

退一万步讲，如果真被REA发现了漏洞，会发生什么？

影响首先取决于漏洞落在哪一层，大致可分为三类。

第一类，客户端逻辑漏洞。

例如，本地校验被绕过、某些功能开关可被篡改、敏感信息保存不当。这类问题的后果通常有限，更多影响产品体验与公平性。

以抖音为例，其造成的影响可能是刷量、作弊、绕过部分限制。大厂一般可通过发版修复，用户感知不强，但会被黑产放大利用。

第二类，接口与服务端漏洞。

这是真正的重灾区。如果接口存在越权、参数信任不当、签名机制被破解，影响就会从“个别账号”变成“批量”。

这类漏洞一旦被利用，可能导致批量数据抓取、账号撞库、羊毛党批量薅取优惠，在金融场景下还可能带来资金风险。

第三类，供应链与第三方组件漏洞。

国民级App里集成了大量SDK、开源库和小程序容器。逆向工具特别擅长发现“这个App里藏了哪个版本的哪个组件”。

如果某个被广泛使用的组件存在已知漏洞，那么影响的不只是某一个App，而是一整串产品。

REA的确明确表示必须合法使用，但开源工具的问题在于，无法控制使用者是谁，以及这个人会用这个工具做什么。

说了半天，那到底该不该害怕？

如果你是跟我一样的普通用户，那就不需要担心。REA并不会对你的账户造成影响，你的账户安全主要依靠服务器端的风控。

而对于大厂们来说，REA无疑是巨大的威胁。

本文来自微信公众号“字母AI”，作者：苗正，36氪经授权发布。