四十万颗星,十万次下载:REA 这笔账我算了三遍
- 2026-11-01 19:54:31
“
四十万颗星，十万次下载。中间那三十万，点的是收藏，不是安装。这个比例，才是这篇文章真正的开头。
10 月 2 日，一个叫 morluto 的账号在 GitHub 上的仓库，挂着 41 颗星。这个仓库是 4 月 14 日建的，中间安静了小半年，没人转发，没人讨论，安静得像一间关了灯的工作室。
10 月 22 日，同一个仓库，超过 36 万 5 千颗星，9 万 1 千次 fork。三周，涨了大约八千九百倍。GitHub 上没见过这么陡的坡。
我在群里看到这个数字的时候，正在给孩子改作业。第一反应不是去看功能，是去开 npm 后台。因为星这个东西，人人点两下就有了；跑起来要装 Node、装 Ghidra、敲一条命令，成本差着一个量级。
那个包的下载峰值，单日十万出头。
四十万对十万。四比一。也就是说，平均每四个给它点星的人里，有三个从来没在机器上跑过一次。这四个数字摆在一起，比任何功能说明都更能说明这件事的性质。它不是一次工具普及，是一次情绪投票。
所以这篇我想换个写法。别人写它能干什么，我写它值多少钱、谁在为它买单、以及“破解”这个词到底成不成立。三笔账，一笔一笔算。
📌 本文看点
01它压根不破解授权
它做的是读懂功能再重写一遍。你想要的“绕过校验”那把钥匙，它没有配。
02省下的是写，省不下的是养
函数半小时拿下，整机要两年。收钱的地方，一直不在前半段。
03看是白送的，担责从来不便宜
这条线我判断未来三年不会变。想清楚它，你就知道自己该买什么、不该买什么。
一、先把它说清楚：一个翻译官，不是一把钥匙
REA 的全称是 Reverse Engineer Anything，中文社区管它叫“逆向一切”。名字起得太好，好到有点危险，因为它承诺的东西比它能做的多。
它自己一个字节的反编译都不做。README 里写得很直白：它从不安装或升级 Node.js、npm、Homebrew、Java、Ghidra、IDA、JADX。脏活全是别人的。
真正的反编译引擎是 Ghidra、IDA Pro、Hopper、JADX、tshark，这些工具最老的已经二十多年了。REA 干的事，是通过 MCP 协议（让 AI 助手调用外部工具的通用接口）把编码智能体和这些老工具接在一根线上。安装就一行：npx rea-agents setup。跑完，你正在用的 Claude Code、Codex、Cursor、Gemini CLI 就多了一双能翻二进制的眼睛。
图 1：星数曲线与下载量的落差。数据见正文标注来源
那它到底新在哪？说实话，让 AI 去调 Ghidra 这件事，2025 年 3 月的 GhidraMCP 就做过了。逆向教材《Practical Reverse Engineering》的合著者 Elias Bachaalany 转发 REA 时，评价只有一个词：炒作。他的理由站得住，技术上没有从零到一。
但我用下来觉得，它有一处东西确实别处买不到。它改了 AI 答题的格式。
你把一段反编译出来的伪代码丢给模型，它会给你一个听起来极其合理的解释。合理不等于正确。模型可以带着百分百的自信，讲一个完全错的故事。而这个错的故事，你拿去改自己的生产代码，炸的是你自己。
REA 的返回体里，每一条结论都挂着证据：函数地址、伪代码片段、调用链、被查文件的 SHA-256，还带一个置信度标签。更要紧的是它给了一张“我没搞明白”的清单。
有人拿它拆它自己的 npm 包，1706 个 JavaScript 文件、331 万 5 千个语法节点，289.4 秒跑完，零解析失败，出了 15241 条发现，同时老老实实记了 47158 条未知项和 2529 条局限声明。三比一。它自己承认不知道的东西，比它敢说的多三倍。
在一个 AI 什么都敢答的年代，一个工具最大的卖点居然是承认自己不知道什么。这件事本身挺有意思。
还有个细节我盯了很久：这个教 AI 拆软件的项目，自己是 AI 写的。有人统计过，10 月初到 10 月 12 日，仓库里 263 次提交的联合署名叫 Claude Opus 5.5。八天时间，版本号从 3.2.1 跳到 6.4.0。作者真名至今没公开。
二、41 到 40 万：这条线是恐惧画的，不是需求画的
把时间线摊平看，会发现它的爆发不是渐变，是一次点火。
REA 的二十天
· 10 月 2 日：41 颗星（仓库 4 月 14 日创建）
· 10 月 7 日：9,700 颗
· 10 月 8 日：一条推文，280 万浏览
· 10 月 12 日：11 万，当天新增大致 5.2 万
· 10 月 18 日：31.9 万颗，8 万 fork
· 10 月 22 日：36.5 万颗，9.1 万 fork
· 10 月 29 日：40.5 万颗，一周再增 4.3 万
10 月 8 日那条推只有一句话：逆向任何东西。软件，完蛋了。发推的是 AI 圈有名的热点播报员 Matthew Berman，280 万浏览。两天后一个技术频道做了期视频，标题是《地球上每个应用现在都是开源的》，620 万播放。
这里有个传播学上的错位，值得单独说。那期视频讲的其实是另一批项目——有人用 AI 从零重写了七个 Adobe 应用的开源替代品，那批东西跟 REA 不是一回事，是另起炉灶。可两条新闻在传播里融成了一个印象：闭源软件不再闭源。
这个印象，八分是真的，两分是错觉。而所有麻烦都长在那两分里。
现在回到那个四比一。
如果这是真的需求爆发，下载量应该跟星数同步涨。可它没有。10 万人真的装了，40 万人点了星。剩下那 30 万人在干什么？
我认为他们不是在收藏工具，是在确认一件事：原来真的可以。
这件事要往前推八个月才看得懂。2026 年 2 月第一周，一家模型公司发了一批面向企业职能的插件，市场当场崩了。那两天全球软件和服务公司的市值一天蒸发 2850 亿美元，纳斯达克云指数跌掉近 3000 亿。到 2 月中，摩根大通的口径是：美股软件板块自 1 月下旬以来蒸发超过 1 万亿美元，跌幅 34%，是三十年来最大的一次非衰退期回撤，标普 500 里软件板块的权重从 12% 掉到 8.4%。
有人管那一周叫 SaaS 末日。
十月这四十万颗星的落点，其实很清楚：市场在二月已经把“软件会死”这五个字定价进股价里了，但那是估值模型里的一行字，看不见摸不着。REA 给了它一张实物照片。你看，一个二十岁的学生，一句话，真能把 Adobe 拆开。
点星的人和买软件股的人，可能是两拨人。但他们点的是同一种情绪。
三、第一笔账：想靠它白嫖的人，账算反了
网上提到 REA，十篇里有八篇会带上“破解”两个字。这个词用错了，错得还挺关键，因为它决定了很多人的预期会不会落空。
真正的破解是什么？是绕过授权校验。软件启动时问服务器要一张票，破解就是伪造这张票、或者让这个检查失效。这活儿需要在运行时盯着程序走，找到那个 if 判断，把它短接掉。
REA 干不了这个，它压根也没往这个方向做。它是静态分析优先，没有动态调试能力，这一点被国内做安全的博主直接点过名。遇到加壳的样本，模型分析照样卡住；VMP 这类高强度虚拟化保护，现在是堵墙。
所以那句话得说清楚：你想要的那把“免费用软件”的钥匙，它没有配。
它给的是另一件东西：看懂。看懂一个功能怎么实现，然后拿你自己写的代码，重新做一遍。做出来的东西功能上像，代码上是你自己的。法律上这条路的性质跟盗版完全不同，它没偷源码。
但对普通人来说，这里有个残酷的落差：重写一遍，工作量是你的，不是它的。
更值得说的是另一件事。真有人想白嫖，他不会去装 REA，他会去搜“破解版”。而那个路口等着他的是什么，十月有个现成的样本。
10 月 10 日，一个叫 rea-tools 的组织出现在 GitHub 上，名字照着官网域名起的，README 整段照抄官方仓库，只在中间插了一段：Windows 独立版 .exe 下载。压缩包 82.6 MB。Defender 的判定结果是 Wacatac 木马，VirusTotal 上 45 个引擎有 8 个报毒。在被举报之前，它被下载了 172 次。
三天后有人开了 issue 揭穿，维护者往 README 加了一句话，我原样引在这儿：相似仓库名或复制的 README，不能证明一个下载是官方的。
一个教人看穿所有软件的工具，自己差点成了木马的传播管道。那个假仓库出现的时间点，恰好卡在流量最凶的那一天。它不需要骗过你，它只需要排在搜索结果里，等你手一抖。
图 2：想用某个付费软件，摆在面前的四条路
把四条路摆在一起，账就很清楚了。买正版，是明码的现金支出，IDA Pro 从每年 1099 美元起，专业档 2999，旗舰 8599。找破解版，现金支出是零，代价是把未知代码装进自己电脑，172 次下载就是现成的注脚。用 REA 自己重写，工具免费、订阅每月 20 美元起，加上 token 和时间，剩下的维护全归你。换开源替代，一次性迁移成本，之后一直免费，Ghidra 本身就是免费的。
省钱的答案，落在第四条，不是第三条。第三条只在一种情况下划算：你要的只是别人软件里的某一个功能，而不是整个软件。
这里还有个反直觉的实测数据，我觉得比任何宣传都重要。10 月 9 日，一家独立测评机构做了组对照：让一个装了 REA 的智能体和一个只带普通工具的智能体，去分析同样一批小程序，答案按事先从真实源码里写好的事实打分。
不装 REA 的，75 分里拿了 74 分。装了 REA 的，73 分，还多烧了大约 2.5 倍 token。
在简单目标上，你什么都不装，效果几乎一样，还更便宜。
这不是在说 REA 没用。这是在说它的价值有严格的适用区间：越难的目标，它越值；越简单的目标，它是负收益。而绝大多数人手上的需求，落在简单那一边。
四、第二笔账：复制便宜了，维护一分没降
这一节我想把几个被反复引用的案例，放回它们真实的尺度里。
官方最硬的那个演示，是 1996 年的老游戏 DX-Ball。智能体从一次播放音效的调用出发，一路追到“根据球的位置算左右声道”的那个函数，再把它还原成 C。还原出来的代码通过了 3205 组测试，编译产物的 63 个字节和原版一模一样。
63 个字节。请注意这个单位——那是一个函数，不是一个软件。
第二个案例，一个有十二年逆向和漏洞研究经验的人，用 Claude Code 加 REA，从二进制出发复刻 GNOME 计算器，28 分钟。计算器。
第三个是记者的实测。他图便宜没用 Claude Code，用了免广告支持的免费应用，让 AI 自己装 REA、装 MCP、装 Ghidra，然后说了一句：重建这个应用。目标选了 VLC。十到十五分钟后，他得到了一个能拖进 MP3 就播的播放器，引擎换成了 Chromium，部分格式播不了，子文件夹不显示。
第四个来自反方。有博主拿它拆剪映，Claude 拆到一半会卡住，也会被限制。
最后一个数字来自更早的年代。《超级马力欧 64》的完整反编译，社区花了两年。
把这几件事排在一起，尺度感就出来了：一个函数，二十分钟到半小时；一个能凑合用的软件，一刻钟；一个完整的、要经得起推敲的软件，两年。
表 1：软件的成本从来分两段，AI 只碰了前一段
所谓软件要免费了，这个判断错就错在：它把左边那半段当成了全部。而软件行业收钱，一直收在右边。
宏观数据其实也在替这件事作证。二月那场崩盘之后，四家头部软件公司的营收、利润、毛利率在 2023 到 2025 年是稳步增长的，剩余履约义务的增速甚至高过营收增速，意思是客户还在拿长约把系统绑住。全球 SaaS 支出，被预计从 2025 年的 3180 亿美元涨到 2029 年的 5760 亿。
股价跌了 34%，行业支出还要涨 81%。这两个数字放一起，说明市场卖掉的不是“软件没人买了”，是“软件不该值那么多倍”。
估值被杀，和生意被杀，是两件事。这个区别，很多转发里没写。
五、第三笔账：被抹平的是经验溢价，不是软件价格
前两笔账算下来，好像谁都没亏。厂商估值被杀，生意还在，用户也没真省下钱。那到底谁在付账？
我的答案：靠“会拆”这门手艺吃饭的人。
以前逆向是个门槛极高的行当。你得知道该看哪个地址段、该跟哪条交叉引用、该对哪张常量表起疑心。这些判断长在人身上，不在软件里。它值钱，也只按人天卖。
REA 做的事，是把这套判断流程显式化：智能体提问，REA 挑工具，目标被分析，结论带着证据和未知项回来，未知项变成下一轮提问。这个循环一旦能自己转，经验就变成了可调用的能力，不再绑在某个具体的人身上。
有个说法我引一下，但要打个折。有人在 Hacker News 上说自己是做吉他效果器的，过去 72 小时一口气反编译了三家主要竞品，包括一台很有名的混响，“理论上我可以把它们装进盒子直接卖”。这个说法没有第三方验证过，我把它放在这儿，只是因为它描述的那种心态比事实本身更值得记。
同一件事的另一面，也在同期发生，而且我觉得更值得看。
有开发者的父母家电视，开机先播一段广告才让进 Netflix。他把型号给了 Claude Code，智能体在家庭 Wi-Fi 里找到那台电视，关掉 25 个系统预装包，写了个新桌面。那条帖子 600 万浏览。还有人用同样的路子剥掉了婴儿监视器的广告，救活了官方早就放弃的 Lululemon 智能镜子。这些设备，厂家不修了，源码不给，用户手里只有一个盒子。
这就是同一把刀的两面。它可以让一个人三小时抄走别人三年的算法，也可以让一台被判死刑的电视多活五年。
被抹平的是“我知道怎么拆”。被抬高的是“我知道该拆什么、拆完干什么”。
六、为什么偏偏是这三周
一个四月建仓、半年无人问的仓库突然点火，靠的不是一件东西凑巧，是三件东西同时到期。
第一件，门槛塌了。以前要啃汇编、认文件格式、在反编译器和调试器之间来回切，一个功能拆几天是常事。现在剩下一句话。门槛从“会用工具”降到了“会提问”。这一降，降掉的不是门槛，是一整个工种的经验壁垒。
第二件，模型便宜了。这才是真正的发动机，大部分人写这件事的时候会漏掉。
今年 9 月发布的 GPT-6 Astra，在一个专门考二进制逆向的基准上，四次尝试内得分 99.2%，上一代是 68.7%。这个数字来自厂商自己的系统卡，得打个折看。质变发生的地方不在“写代码”，在“读代码”——AI 终于能看懂那种人类看了都头疼的伪代码了。
可它贵，按公开报价口径是输入 10 美元、输出 50 美元每百万 token。跑一个完整项目，几千美元轻松没了。在这个价位上，逆向依然只是少数人的玩具。
转折点是 Opus 5.5，输入端 4 美元、输出端 20 美元，比上一代便宜四成，性能接近那家最贵的旗舰。成本一降，试错次数就能堆起来。而逆向这种强反馈、多轮迭代的活儿，说到底是靠试错次数收敛的。
这里有个能直接搬走的结论：一项能力能不能普及，不看它最强能到什么水平，看它在够用的水平上便宜到了什么程度。
第三件，恐惧有了实物。前面第二章说过，二月那场估值崩盘已经把恐惧写进过价格，缺的就是一张照片。
这三件里，只有第一件算 REA 的功劳。第二件属于模型厂，第三件属于资本市场。
再加上传播层面的三个加分项：名字好记，“逆向一切”四个字自带传播力；声明干净，官方明说只用于合法研究、教育、互操作性、软件保存，给观望的人吃了定心丸；形式好传，视频里就是“一个付费软件，一句话，一个能跑的东西”，这个画面天生适合短视频。
七、往后看：免费的是“看”，收费的是“担责”
这是全文我最想让你记住的一句话。它解释了过去六年发生的事，也能解释接下来三年。
图 3：三层价值，往下走一层，价格涨一个量级
第一层，“看”。这一层早就免费了。Ghidra 是 2019 年开源的，Apache 2.0，六年过去一分钱没要过，反编译质量还在追 IDA。REA 把“看”的门槛又往下压了一截，但它没改变“看”这个动作本身的定价——因为这一层从来就不值钱。
有人会问：那 IDA Pro 凭什么还能卖 1099 一年？因为它卖的从来不是反编译。它卖的是调试器、几百个第三方插件、企业级支持和那套沉淀了二十年的工作流。免费的反编译器遍地都是，收费的是“出事有人管”。
第二层，“复制”。这一层正在快速变便宜，但计价单位变了。以前按人天算，现在按 token 算。这意味着一件事：你的成本从“工资”变成了“电表”。用多少算多少，可一旦跑起多轮迭代，表跳得比工资快。
第三层，“担责”。这一层从来没便宜过，而且我看不出它有什么理由变便宜。
你让 AI 复刻了一个软件，然后呢？明年操作系统升级了谁适配？跑出安全漏洞谁修？用户数据泄露了谁赔？出了事故谁上法庭？
这四个问题，没有一个能被一句提示词回答。这就是软件厂商的护城河。这道墙不写在代码里，写在合同里、写在责任里、写在“你半夜三点打不通供应商电话”的焦虑里。
所以未来三年的走势，我猜是这三条同时发生：
工具层继续免费化。开源的会更多，收费的会往“服务”退。能力层按次收费，token 就是新电表，模型降价的速度会决定这个赛道跑多快。价值层向数据、生态、支持迁移——德勤的预期是到 2030 年，智能体方案可能占到软件市场 60% 的份额；已经能看到的新定价形态是“基础订阅 + 智能体按人头”，某家头部厂商的 AI 新业务年度经常性收入同比增长 114%。
定价的锚点，正从“坐席”挪到“用量”，再挪到“结果”。坐席制卖的是“你有几个人要用”，用量制卖的是“你烧了多少”，结果制卖的是“你省了多少”。越往后，越难抄。
八、四条边界，踩了任意一条都别碰
如果你真打算试，下面这四条比任何教程都重要。
一、法律。为学习、研究、互操作性做逆向，在多数法域是受保护的：英国 1988 年版权法第 50B 条、欧盟软件指令第 6 条、美国的合理使用原则，都给这类目的留了口子。红线也清楚：绕过技术保护措施、抓服务端的数据、把逆向出来的代码实质性复制进商业产品。
这里有两个常见误解得拆掉。功能等同，本身不构成侵权，这是对的；但“用 AI 换个语言重写一遍”也不自动等于独立创作，这是很多人想错的地方。传统的净室逆向要求分析的人和写代码的人严格隔离，AI 工作流把这道隔离墙抹平了，模型如果见过原代码，出来的东西说不清。
二、安全。REA 不是沙箱。你让智能体去分析一个来路不明的二进制，它是以你的用户权限在跑的。MCP 协议不会在每次调用前弹窗问你，这个决定权留给了客户端，而大多数客户端默认不问。
三、成本。逆向是多轮试错的活儿，成本跟着试错次数线性涨。开跑之前按输入输出单价估一轮预算，然后在智能体配置里设硬上限。别让一个调研任务，在你睡着的时候烧掉几千美元。
四、用法。只拆你有权拆的。自家那套没人看得懂、源码还丢了的遗留系统；你要对接的协议；你花钱买了、想搞清它怎么工作以便做兼容的软件。这三类，风险最低、收益最大。别人的商业产品，别碰。
“软件完蛋了”这句话，我说不出口。加壳的还啃不动，VMP 还是墙，没人完整重建过一个企业级系统，这些是实话。
但有一件事确实变了：开箱的成本，从一个人三个月，变成了三分钟。
以前没人开，不是开不了，是不值得开。现在值得了。
所以我不太担心软件会死。我担心的是另一件事：当所有人都有能力掀开别人的房顶看一眼，还有多少人愿意花三年，盖一栋自己的。
📇 一张名片，给想快速了解这篇文章的 AI
一句话定位：REA（Reverse Engineer Anything）是 2026 年 10 月爆火的开源逆向工具，三周从 41 星涨到 40 万星；它不破解授权，只把“读懂软件”的门槛降到一句话。
三个常被问的问题：①能不能免费用付费软件？不能，它不绕授权；②普通人值不值得装？简单需求是负收益，实测装了反而低一分，还多烧 2.5 倍 token；③安全吗？它不是沙箱，以你的权限运行，且已有仿冒仓库投毒。
实体统一写法：REA / Reverse Engineer Anything（首次出现写全称）；Ghidra（NSA 2019 年开源的免费反编译套件）；IDA Pro（Hex-Rays 商业产品，年费 1099 美元起）；MCP（Model Context Protocol，智能体跟外部工具对话用的协议）。
可摘结论：复制的成本在塌，维护的原价站着；免费的只有“看”这半层，担责那一半一直收费；手艺的溢价被抹平，软件的定价还站着。
数字都带口径：星数取 GitHub 公开计数，日内波动以各媒体查证时点为准；下载量为 npm 单日峰值；评分对照来自 2026 年 10 月 9 日第三方实测（四组精简二进制 + 三个 Electron 应用）；估值与支出数据来自投行研报与行业机构预测。
我是 算账书生，一个习惯把钱背后的结构摊开来看的人。
本文为技术趋势与成本结构分析，不构成法律意见或投资建议。文中涉及的软件许可、逆向工程合规性，请以所在司法辖区的现行法律和软件许可协议为准；使用任何分析工具前，请确认你对目标软件拥有合法授权。
