# 源码不再是护城河REA 三天 12 万星软件业的钱正在搬家软件行业过去半个世纪的定价逻辑一句话就能概括源码在我手里你想用就得买。这句话支撑了闭源许可证、SaaS 订阅以及一整套防逆向的技术军备竞赛。2026 年 10 月的第二个星期一个叫 REA 的开源项目用了三天让这句话第一次显得过时。REA 全称 Reverse Engineer Anything仓库挂在 github.com/morluto/reaTypeScript 写的 MIT 协议 MCP server。它的功能说来也简单让 Claude Code、Codex、Cursor 这些 AI 编程 Agent能调度 Ghidra、Hopper、IDA Pro 这些专业逆向工具去分析那些没有源码的软件。项目 4 月就建了一直默默无闻10 月 6 日突然爆发五天里五次登上 GitHub Trending 第一到 10 月 12 日星标冲到约 12 万。Replit 的 CEO Amjad Masad 在社交平台留下一句「很快所有软件都可能事实上变成开源软件。」这不是玩笑。但同一批报道里技术作者王军舰把同一组数据摊开11 万星对应的 fork/star 比 22.2%watcher 只有 349 个npm 月下载 7.4 万。他的结论只有一句这是一次注意力事件不是采用曲线。一个项目两种读法。这篇要回答的正是这个分歧REA 到底把软件护城河挖空了多少又有多少是热度泡沫。结论先放在前面软件护城河没有消失它正在搬家从「看不到代码」搬到「服务和 know-how」。真正值钱的东西从来不在源码里。上图InfoQ《GitHub 新晋顶流 REA》报道页原图2026-10-12来源infoq.cn拆开 REA反编译器只是表象编排层才是真身把 REA 当成「一键反编译」是对它最大的误解。它不发明任何新的逆向技术真身是一个编排层把 41 个现成的逆向引擎包装成统一的 MCP 契约让 Agent 用自然语言就能调度它们。工作流程是这样的你问 Agent「这个 App 的搜索功能怎么实现」Agent 通过 REA 调用 Ghidra 或 Hopper 分析二进制、用 Chrome DevTools 扒网站、用 JADX 拆 APK然后把结果带回来。真正让它区别于传统逆向的是它坚持的证据模型每条结论都附带文件摘要、字节区间、JSON 指针这些来源标记同时显式列出哪些未知、哪些是局限。它要的是「第 0x1A2C 字节处那个函数在做异或这是证据」这种能落到字节的结论而不是一句「我猜这个函数在算密码」。上图REA 的架构真相它把专业逆向工具编排层化Agent 只负责提问与解释工具负责取证。它支持的目标清单长得像一份软件考古目录Mach-O、ELF、PE、macOS .app、Go 二进制、JavaScript 与 Electron 应用、网站、.NET、Android APK甚至固件和 WASM。深度分析原生二进制需要自备 Ghidra 12.1 或 Hopper、IDA静态拆 JS 和 .NET 零额外依赖。但工程质量的另一面是它其实没那么神。目前能被核查的完整案例只有三个一个 DX-Ball 游戏声音逻辑重建用 3205 个用例复现 63 个函数一个 Notion Electron 版剪贴板桥接追踪一个 PC-98 老游戏 TH94 的子弹环计算恢复。强混淆和加壳会让反汇编结果显著降级服务端的支付、风控、推荐逻辑在客户端里根本不存在返回的是伪代码而非原始源码大二进制还要受上下文窗口硬约束。这些边界媒体标题通常不提。为什么它能火把门槛、时间、保真度三件事同时打穿REA 的火爆不在于变出新魔法而在于把三件原本昂贵的事同时变便宜。专业门槛。过去逆向一个二进制要会汇编、懂 PE 和 ELF 格式、能读伪代码这是一个养了二十年的专业群体。REA 之后这件事变成问一句「这个安装包到底往注册表写了什么」。门槛从十年功力清零到会打字。时间成本。一个专业团队分析一款 App 周期以周计一个 Agent 拆一款游戏或 App周期以小时甚至分钟计。成本跟着塌下来有安全研究者用 Cursor 搭 Claude 逆向带多层加壳的银行 App约 30 分钟、不到 5 美元。保真度。人类的逆向会累看到关键函数就停下Agent 不受这个上限约束可以全量扫描。逆向开发者 Maurice Heumann 用 Hex-Rays 官方 MCP 让十几个智能体并行把一款射击游戏 99% 的函数还原成 C 源码其中 83% 编译后与原程序逐字节一致。这个数字如果坐实意味着「抄到八成真」第一次成为现实。这三件事合起来攻击的正是软件业最老的那座护城河。过去「源码不可得所以你得买」成立是因为复制一件软件的成本逼近甚至超过重新开发它。当复制成本从数十人月跌到 30 分钟加 5 美元这个等式第一次不成立了。12 万星是护城河塌方还是一场注意力事件这是全文最关键的一段因为两种读法都有一手数据撑着。主张塌方的一方证据是星标的绝对斜率。GitHub API 显示 10 月 12 日约 12 万星六天前还只有 1513 星单日新增峰值在 10 月 11 日达到 31255 星10 月 6 日到 12 日五次登顶 Trending。作为对比年初同样爆款的 OpenClaw 爆发第三天累计只涨 6 万星。主张泡沫的一方证据是四个口径的分裂。王军舰的实测星标 110042fork/star 比 22.2%成熟项目通常 2% 到 8%watcher 只有 349 个watcher/star 比 0.32%正常 1% 到 3%npm 月下载 7.4 万。他据此判定11 万星里绝大多数是收藏围观不是真实装机。更耐人寻味的是不同来源报出的星数本身在打架有的说 12 万有的说 16.8 万、17.1 万而 watcher 始终停在五百上下被一些社区怀疑有刷数据成分。我判断两件事同时为真。星标是注意力不是生产力但注意力在这个节点出现是有信号的足够多的人已经意识到「源码作为护城河」这个前提松动了这种集体意识一旦形成不会因为 fork 率低就消失。中文开发者社区的反应落在两种读法中间。InfoQ 报道引述的专家把结论引向「软件里的知识才是产品」克隆能拿走代码拿不走业务理解和客户关系知乎的讨论更直接有人怀疑星标斜率有刷数据成分。「逆向灭霸」的媒体外号在中文圈传开但真正做安全的人反而最冷静他们提醒这波更多是 AI 博主和科技账号在扩散而非逆向圈自己的共识。这层传播路径的观察很关键。它意味着 REA 的第一批受众是被「软件护城河崩了」叙事吸引来的围观者而非真的要拆二进制的人。叙事先于工具落地这既是它三天 12 万星的原因也是它最容易被反噬的地方一旦「复现得准」在真实场景被证伪星标会以同样快的速度退潮。法律的绳子还拴着合法的是互操作不是搬运热度再高法律边界没有跟着松动反而因为「一个人同时读和写」而更微妙。中美两边的红线高度一致都禁止直接复制代码允许的只是为互操作性而分析与重建。美国是 DMCA §1201 和 Sega v. Accolade 案先例外加 Bowers v. Baystate 案承认了软件许可证里禁止逆向的条款中国是《著作权法》第五十条、法释〔2020〕7 号第十四条以及指导案例 48 号。REA 真正的麻烦在于它打破了逆向工程四十年的净室隔离。传统上拆解代码的人和分析之后重新写代码的人必须是两拨中间隔着规范文档。现在同一个 Agent 既读反汇编输出、又生成新代码这层隔离消失独立创作抗辩被削弱「IP 清洗」的质疑随之而来。已经有出版商动手Activision 和 Bethesda 对 AI 逆向产出的内容发出过下架和停止侵权函。还有一个被普遍低估的合规点REA 分析在本地跑但分析结果会被回传给模型供应商。这就把技术问题变成数据治理问题逆向一款带 NDA 的软件等于把它的内部结构外发。安全这条边比合规更刺手。那个「30 分钟 5 美元逆向银行 App」的实测既是能力证明也是攻击面说明过去要养专业团队的活现在一个会打字的人加 5 美元就能摸到一款 App 的加壳、反调试和请求内容。更麻烦的是承载这些 Agent 的工具链自己也在漏Wiz 披露过 6 款 AI 编程助手共有的符号链接信任边界缺陷涉及 Claude Code 和 Cursor。一面是逆向门槛被打平一面是 Agent 本身供应链在变脆两件事叠加才是「逆向 Agent」这个品类未来最大的变数。这层法律绳子恰恰是「护城河会搬家而不是消失」的另一个理由。如果复制代码这条路被法律死死按住真正能合法留住客户的东西只能是代码之外的那部分。值钱的东西换了位置从实现难度到服务与 know-howREA 的故事如果只讲到「软件护城河崩了」就只讲了一半。同一天发生的一组数据给出另一半。西门子在首尔发布会扔出两个数字2026 年全球 AI 投资预计 2.5 万亿美元但只有 6% 的企业体验到可量化的回报改善74% 没走到商业化调查里 65% 的人说 AI 帮了自己的活却只有 12% 说它提升组织绩效。它的回应是三个组件拼在一起知识图谱连接分散数据、Agent 编排、加一道人工审批。一个 HBM 良率异常的活从数天压到 6 分钟。哈佛一份工作论文给了更冷的信号AI 编程 Agent 让代码量涨 30%但解决的 issue 数持平评审时间反而多 49%。代码变多了产出没变多。这件事和 REA 是同一枚硬币的两面写代码、复制代码都在快速变便宜但把代码变成能交付、能维护、能合规的产品没有变便宜。Replit 那边流传一个更直白的故事有人拿到报价 15 万美元的软件需求用 Replit 花 400 美元自己造出来反手 3.2 万美元卖回雇主。抛开道德判断它讲的是同一件事实现的定价权在崩而「把需求翻译成能用的东西」这个动作还有定价权。上图护城河正在从「看不到代码」迁移到五个更重的方向这些都无法被逆向拿走。Replit 总裁 Michele Catasta 的话可作注脚技术护城河会褪色执行护城河会复利。功能可以被复制但关于什么会坏、什么能扩展的判断力和十年踩坑攒下的经验复制不了。InfoQ 报道引述的专家也点到同一层克隆能拿走代码拿不走业务理解和客户关系软件里的知识才是产品。上图软件业收费基础从「实现难度加信息不对称」不可逆地滑向「服务加业务理解加合规」。接下来「逆向工程 Agent」大概率会像 coding agent 一样长成独立工具品类但它第一个真正值钱的商用案例不会出现在复刻别人的 App 上而会出现在企业维护那些已经没人读得懂源码的老系统上。这是合规的、付费意愿最强的、也是 REA 那套证据链真正能发挥的地方。收尾搬走的是护城河搬不走的才是生意把整件事收拢REA 这 12 万星真正标定的是软件业价值重心的迁移而不是软件业的死亡。我原以为「所有软件都将开源」是 Masad 的情绪化口号看完这轮数据才意识到它描述的是另一件事当复制和实现便宜到可以忽略闭源本身就不再是收费的理由软件业得重新回答用户到底在为什么付钱。答案不在源码里在服务、数据、关系和持续交付里。接下来半年我会盯三个信号。逆向 Agent 会不会出现第一起真实商用落地尤其在企业老系统维护方向而不是媒体 demo。GitHub 和各大平台会不会对这个品类给出明确合规姿态这决定它是工具还是雷区。REA 那套证据链范式会不会被 coding agent 之外的安全、取证、合规工具复制如果会它真正的遗产是教会 Agent 说清「我是怎么知道的」而不是拆软件本身。给正在做软件的人一句实用的话别再假设你的护城河是别人看不到你的源码那只是一种会随时间失效的摩擦。真正要补的是把代码之外的东西做厚把服务做到别人复制不动把业务理解做到别人偷不走。这从来都是软件业最慢、最贵、也最值钱的那部分。参考来源GitHubmorluto/rea官方仓库与 READMEInfoQGitHub 新晋顶流 REA当大模型能逆向一切软件行业还剩什么36氪软件完蛋了吗REA 三天狂揽 12 万星王军舰当逆向工程被 Agent 化REA 的工程真相与热度泡沫DigitalTodaySiemens unveils enterprise agentic system觉醒 AI 知识库GitHub 12 万星 REA 实测30 分钟 5 美元ZGeoREA 一周 11 万星AI 逆向工程的能力边界与版权合规成本每日更新。