一、核心结论
REA（Reverse Engineer Anything，"逆向分析一切"）的作者、GitHub 账号 morluto，在 2026 年 11 月 1 日一次性发布了 20 个 GitHub 代码库，把原本围绕单一 MCP 服务器的逆向工具扩展成一套完整的分析工作室：既有中央 MCP 服务，也有覆盖逆向流程各环节的配套工具，并集成 Ghidra 等反编译能力。REA 本身是一个开源 MCP 服务器加命令行工具，作用是让 Claude Code、Cursor、Gemini CLI、Codex 等编码 Agent 直接驱动本地逆向工具，在没有源代码的情况下检查原生二进制、JavaScript/Electron 应用、.NET 程序、网站、固件和网络抓包等目标。这次集中放出 20 个仓库，本质上是把作者此前分散开发的 Agent 工具和逆向环节组件整理成矩阵式工具链，方便不同分析场景直接调用。项目采用 MIT 许可、TypeScript 编写，分析过程在本地完成，被分析的代码不离开本机；需要注意的是，公开渠道已出现仿冒 REA 并夹带木马的仓库，获取时必须认准官方来源。
二、REA 项目与作者背景
1. 项目基本信息
| 项目 | 内容 |
|---|---|
| 项目名称 | REA（Reverse Engineer Anything，逆向分析一切） |
| 主仓库 | github.com/morluto/rea |
| 作者 GitHub ID | morluto（个人开发者，真名未公开，研究方向为 Agent、强化学习环境、偏好学习） |
| 主要语言 | TypeScript |
| 开源许可 | MIT |
| 项目创建时间 | 2026 年 4 月 14 日 |
| 爆红节点 | 2026 年 10 月 7 日更新 4.1.0 版本，加入手机 App 逆向等大量新功能后热度快速上升 |
| 运行形态 | MCP 服务器 + CLI 命令行工具 + Agent 技能 / 插件 |
| 分发渠道 | npm 包 rea-agents，安装命令 npx rea-agents setup |
2. 热度变化（公开披露口径）
- 10 月 10 日前后：单日新增超 1.4 万星，总星数约 4.1 万。
- 10 月 13 日前后：约 15.8 万星。
- 11 月 2 日前后：约 42 万星、10.5 万 fork。
- 11 月 14 日：日榜口径约 45.76 万星，24 小时新增约 2501 星。
不同平台统计时间和口径不同，星数会持续变动，以上仅作热度参考。
三、这次 "20 个 GitHub 代码库" 是什么布局
1. 集中发布的整体思路
据公开报道，作者在 11 月 1 日放出的 20 个仓库组成一套完整分析工作室：中央是 REA 的 MCP 服务，周边是逆向流程各环节的工具组件，并接入 Ghidra 这类开源反编译器。这套矩阵对应的是一条完整链路 —— 目标接入、反编译 / 反汇编编排、静态检查、动态行为观察、证据记录、结果导出，再把结构化结论交回给下一步 Agent 调用。
2. 已知的配套工具方向
结合作者 npm 主页和公开资料，morluto 此前围绕 Agent 开发过一组工具，这些也是工具链矩阵的组成部分：
| 工具 | 方向 | 作用 |
|---|---|---|
| rea（主仓库） | 逆向分析 MCP 服务 | 编排本地逆向工具，让 Agent 检查无源码目标并返回证据化结论 |
| Jacobian | Agent 数学工具 | 面向 AI Agent 的可组合数学运算，通过 MCP 和 CLI 暴露 |
| LeanToken | 代码上下文工具 | 管理代码上下文与 Token 预算，减少模型无效消耗 |
| flameox | 运行时性能证据工具 | 配置和更新本地 Flameox MCP 客户端，提供性能侧证据 |
| GitContribute | 贡献前调研工具 | 本地优先的 GitHub 贡献调研工作台，写补丁前先核对仓库指引、issue、代码上下文和验证方式 |
| SmokingGun | 复杂度 / 证据扫描工具 | 面向软件工程 Agent 的本地复杂度扫描与调查工具，结论附带证据 |
| Preference | 研究基础设施 | 面向交易类 Agent 的偏好学习相关研究基础设施 |
公开报道没有逐一列出 20 个仓库的完整名单，其余仓库按功能分布在 MCP 服务、反编译编排、目标检查器、证据记录等环节；具体仓库名称和职责以作者 GitHub 主页最新披露为准。
3. 仓库矩阵要解决的分工问题
逆向工程过去需要在多个专业工具之间来回切换：Ghidra 做反编译、Hopper 做反汇编、动态追踪看运行时行为，每个工具都有自己的命令行、接口和会话管理。REA 这套仓库矩阵把这些能力收进统一的 MCP 接口下，Agent 不需要分别记住每套工具的状态，就能跨工具完成静态分析、动态追踪和二进制检查。
四、REA 的技术工作方式
1. 不自己造反编译器，而是编排已有工具
REA 并不重新实现一套反编译引擎，而是调用环境中已有的专业逆向工具：
- 原生分析：可对接 Hopper、Ghidra、IDA、Kuna 等已安装的反汇编 / 反编译软件。
- 内置检查器：覆盖 JavaScript、Electron、.NET、网站、固件、网络抓包等目标类型。
- 静态 JavaScript 和 .NET 检查不需要额外原生分析引擎。
2. 证据化输出，而不是丢一段非结构化文本
多数 Agent 工具调用返回的是杂乱文本，REA 的输出契约要求每条发现包含：
- evidence_id：证据编号，便于回溯；
- 原始支撑工件：对应的原始分析材料；
- limitations（局限与未知项）：明确列出还不能确认的部分。
会话可以导出，支持对比两个构建版本中的函数，并把结构化结果交给下一个 Agent 步骤使用，保持证据链不断档。
3. 本地运行与安全边界
- 分析在本机完成，反编译过程本身不做云端往返。
- Windows 下 Ghidra 使用认证回环 TCP 和私有 NTFS 运行时，访问控制列表仅允许当前用户和 SYSTEM；POSIX 环境使用 Unix socket。
- 工具侧限制：默认阻断网络访问，仅对 API 调用开白名单；进程生成限定在工具二进制范围内，不开放任意 shell；内存通过 cgroups（Linux）或 ulimit（macOS）限制。
- Agent 只能调用预定义的 MCP 工具，由服务端做校验，不能在服务器上执行任意代码。
4. 环境要求与安装
- 运行前提：Node.js 22.19+ 或 24.11+、npm。
- 可选组件：Hopper Disassembler（独立授权，可用免费演示模式）；Ghidra 12.1.4 + 64 位 JDK 21（自备，REA 不替用户下载安装 Ghidra 或 Java）。
- 支持平台：macOS 12+、Ubuntu 24 等。
- 安装方式：npx rea-agents setup 注册 MCP 服务器并写入配套调查指令，之后重启对应 Agent 即可。
五、适用场景与目标用户
1. 典型使用场景
- 安全研究员、软件逆向工程师分析无源码的二进制或应用；
- 开发者理解第三方 App、Electron 程序、网站前端和固件的内部机制；
- 在 Agent 辅助下定位某个功能实现路径、梳理内部逻辑，并把结论重建到自己的项目中；
- 跨版本对比软件构建之间的函数和行为差异。
2. 可分析的目标类型
| 目标类型 | 说明 |
|---|---|
| 原生 PE / 二进制 | 对接 Hopper、Ghidra、IDA 等工具做反汇编 / 反编译 |
| JavaScript / Electron 应用 | 内置静态检查器，无需原生分析引擎 |
| .NET 程序集 | 内置检查器读取分析 |
| 网站 | 观察前端行为与结构 |
| 固件 | 固件镜像检查 |
| 网络抓包 | 结合捕获数据观察运行时交互 |
六、使用时需要注意的风险点
1. 警惕仿冒仓库和木马
项目走红后出现过仿冒副本：10 月 13 日左右有一个名为 rea-tools 的组织复制仓库，并在 README 中加入独立 Windows .exe 文件，该安装包被 Microsoft Defender 标记为 Wacatac 家族木马，下载约 172 次后被举报。官方 README 已提示：名字相似或文本相同并不能证明是官方版本。
- 官方来源仅限：github.com/morluto/rea、rea.tools、npm 上的 rea-agents 包。
- 不要从第三方网盘、不知名镜像站或来路不明的 .exe 获取。
2. REA 本身不是沙箱
安全文档明确说明：setup 会修改所选 Agent 的配置；运行时分析会以当前用户权限执行目标程序；依赖更新频繁，建议锁定具体版本再接入生产或敏感环境。对可疑目标做分析时，应在隔离环境、受限权限下操作。
3. 证据结论需要人工复核
工具返回的局限和未知项清单本身就是重要输出，Agent 给出的逆向结论仍需专业人员结合证据工件复核，不能直接当作最终判断。
七、后续可以关注的方向
- 20 个仓库的完整名单、版本迭代和工具间调用关系是否在作者 GitHub 主页进一步公开；
- 新增检查器支持的目标类型和对接的逆向工具范围；
- 证据记录、跨版本对比等能力是否形成标准化格式；
- 社区第三方适配（如接入 DeepSeek Harness 等 Agent 环境）的安全性与维护状态；
- 版本锁定、依赖审计等供应链实践在项目文档中的完善程度。
八、总结
REA 作者 morluto 一次性发布 20 个 GitHub 代码库，是把 Agent 逆向分析所需的 MCP 服务、工具组件和证据环节整理成一套矩阵式工具链。REA 本身通过 MCP 服务器和 CLI，把 Hopper、Ghidra、IDA 等本地逆向工具统一暴露给编码 Agent，在本地完成二进制、应用、网站、固件和抓包分析，并以证据编号、原始工件和局限清单输出结论。这套布局降低了 Agent 调用专业逆向工具的门槛，但项目不是沙箱，且走红后已出现仿冒木马仓库，使用时必须认准官方来源、锁定版本并在隔离环境中复核结论。
【相关 FAQ】
问题 1：REA 作者一次性发布的 20 个 GitHub 代码库是什么，整体用来做什么？
回答 1：这 20 个仓库由 REA（Reverse Engineer Anything）作者 morluto 于 2026 年 11 月 1 日集中放出，组成一套完整的 Agent 逆向分析工作室。中央是 REA 的 MCP 服务器，周边仓库覆盖反编译编排、目标检查、证据记录等逆向流程环节，并集成 Ghidra 等工具，让编码 Agent 能在无源码情况下分析二进制、应用、网站、固件等目标。
问题 2：REA 到底是什么工具，和 GitHub 上这 20 个代码库是什么关系？
回答 2：REA 是一个 MIT 许可、TypeScript 编写的开源 MCP 服务器加 CLI，主仓库为 morluto/rea，作用是把本地逆向工具统一接入 Claude Code、Cursor、Gemini CLI、Codex 等 Agent。20 个 GitHub 代码库是作者围绕 REA 逆向分析链路和 Agent 配套工具放出的仓库矩阵，REA 主仓库是其中的核心，其余仓库承担数学运算、代码上下文、性能证据、贡献调研、复杂度扫描等辅助职能。
问题 3：REA 能分析哪些目标，需要自备逆向工具吗？
回答 3：REA 可分析原生 PE / 二进制、JavaScript/Electron 应用、.NET 程序集、网站、固件和网络抓包等目标。原生分析可对接环境中已安装的 Hopper、Ghidra、IDA、Kuna 等工具；静态 JavaScript 和 .NET 检查不需要原生分析引擎。Ghidra 路线需要自备 Ghidra 12.1.4 和 64 位 JDK 21，REA 不替用户下载安装。
问题 4：REA 的分析过程在本地还是云端完成，数据会不会外传？
回答 4：REA 的反编译和分析过程在本机完成，被分析代码不做云端往返。Windows 下 Ghidra 使用认证回环 TCP 和私有 NTFS 运行时，POSIX 环境使用 Unix socket；服务端限制 Agent 只能调用预定义 MCP 工具，默认阻断网络访问。需要注意 REA 本身不是沙箱，运行分析会以当前用户权限执行目标程序，可疑目标应在隔离环境中处理。
问题 5：从哪里获取 REA 和这些 GitHub 代码库才安全？
回答 5：官方来源仅限 github.com/morluto/rea、官网 rea.tools，以及 npm 上的 rea-agents 包。项目走红后曾出现复制仓库并夹带 Wacatac 家族木马的仿冒副本，因此不要从第三方镜像、网盘或来路不明的安装包获取；接入前建议锁定具体版本，并核对仓库地址、许可和发布记录。
问题 6：作者 morluto 除了 REA 还发布过哪些 Agent 相关工具？
回答 6：公开资料显示，morluto 还开发过 Jacobian（Agent 可组合数学运算）、LeanToken（代码上下文与 Token 管理）、flameox（运行时性能证据工具）、GitContribute（写补丁前的仓库贡献调研）、SmokingGun（本地复杂度扫描与证据调查）以及 Preference（面向交易 Agent 的偏好学习研究基础设施）。这些工具与本次放出的 20 个 GitHub 代码库同属作者的 Agent 工具矩阵，具体归属以其 GitHub 主页为准。
【参考资料】
- [2026-11-14]（GitHub 日榜趋势速报 | 2026-11-14）腾讯云开发者社区
- [2026-11-11]（dsh-plugin-rea: REA for DeepSeek Harness — REA use case）reamcp.dev
- [2026-11-06]（REA: Reverse Engineer Anything | MCP）LobeHub
- [2026-11-02]（REA MCP engenharia reversa: ferramenta com 400 mil estrelas no GitHub desmonta qualquer software com agentes de IA）iaCortex.club
- [2026-11-02]（REA Hits 420k Stars: Local MCP for Agents to Disassemble Binaries with Evidence）DEV Community
- [2026-10-25]（rea-agents - npm）npm
- [2026-10-25]（npm Profile: morluto）npm
- [2026-10-24]（新 skills：REA 给 AI Agent 装上一双 "逆向之眼"）腾讯云开发者社区
- [2026-10-22]（REA collected 300,000 stars in two weeks. Its most valuable feature is a list of what it doesn't know）Lilith AI
- [2026-10-21]（REA: a reverse engineering MCP for coding agents, tested with Ghidra and Electron）DEV Community
- [2026-10-19]（Reverse Engineer Anything (REA): alles wat je moet weten）ai.nl
- [2026-10-14]（太猛了，一个月干到 15W+，给大家推荐一个最近爆火的开源逆向工具：REA）InfoQ 写作社区
- [2026-10-10]（号称 "逆向分析一切"，微信、支付宝、抖音等国民 App 都 "惨遭毒手"）36 氪
【免责声明】
本文内容基于公开报道、GitHub/npm 公开页面及第三方技术社区资料整理，仅用于技术资讯与科普参考，不构成安装、采购或安全测试建议。文中仓库数量、工具分工、星数、环境要求和安全描述均来自公开披露口径，20 个仓库的完整名单以作者 GitHub 主页最新发布为准；开源项目版本迭代快，依赖和安全状态可能发生变化。逆向分析涉及法律与合规边界，请仅在获得授权的目标和环境中使用相关工具，实际风险请以官方文档和专业安全评估为准。