源码不再是护城河：REA 三天 12 万星，软件业的钱正在搬家-育师

# 源码不再是护城河：REA 三天 12 万星，软件业的钱正在搬家

软件行业过去半个世纪的定价逻辑，一句话就能概括：源码在我手里，你想用就得买。这句话支撑了闭源许可证、SaaS 订阅，以及一整套防逆向的技术军备竞赛。2026 年 10 月的第二个星期，一个叫 REA 的开源项目，用了三天让这句话第一次显得过时。

REA 全称 Reverse Engineer Anything，仓库挂在 github.com/morluto/rea，TypeScript 写的 MIT 协议 MCP server。它的功能说来也简单：让 Claude Code、Codex、Cursor 这些 AI 编程 Agent，能调度 Ghidra、Hopper、IDA Pro 这些专业逆向工具，去分析那些没有源码的软件。项目 4 月就建了，一直默默无闻，10 月 6 日突然爆发，五天里五次登上 GitHub Trending 第一，到 10 月 12 日星标冲到约 12 万。

Replit 的 CEO Amjad Masad 在社交平台留下一句：「很快所有软件都可能事实上变成开源软件。」这不是玩笑。但同一批报道里，技术作者王军舰把同一组数据摊开：11 万星对应的 fork/star 比 22.2%，watcher 只有 349 个，npm 月下载 7.4 万。他的结论只有一句：这是一次注意力事件，不是采用曲线。

一个项目，两种读法。这篇要回答的正是这个分歧：REA 到底把软件护城河挖空了多少，又有多少是热度泡沫。结论先放在前面，软件护城河没有消失，它正在搬家，从「看不到代码」搬到「服务和 know-how」。真正值钱的东西，从来不在源码里。

上图：InfoQ《GitHub 新晋顶流 REA》报道页原图，2026-10-12，来源：infoq.cn

拆开 REA：反编译器只是表象，编排层才是真身

把 REA 当成「一键反编译」是对它最大的误解。它不发明任何新的逆向技术，真身是一个编排层，把 41 个现成的逆向引擎包装成统一的 MCP 契约，让 Agent 用自然语言就能调度它们。

工作流程是这样的：你问 Agent「这个 App 的搜索功能怎么实现」，Agent 通过 REA 调用 Ghidra 或 Hopper 分析二进制、用 Chrome DevTools 扒网站、用 JADX 拆 APK，然后把结果带回来。真正让它区别于传统逆向的，是它坚持的证据模型：每条结论都附带文件摘要、字节区间、JSON 指针这些来源标记，同时显式列出哪些未知、哪些是局限。它要的，是「第 0x1A2C 字节处那个函数在做异或，这是证据」这种能落到字节的结论，而不是一句「我猜这个函数在算密码」。

上图：REA 的架构真相，它把专业逆向工具编排层化，Agent 只负责提问与解释，工具负责取证。

它支持的目标清单长得像一份软件考古目录：Mach-O、ELF、PE、macOS .app、Go 二进制、JavaScript 与 Electron 应用、网站、.NET、Android APK，甚至固件和 WASM。深度分析原生二进制需要自备 Ghidra 12.1 或 Hopper、IDA，静态拆 JS 和 .NET 零额外依赖。

但工程质量的另一面，是它其实没那么神。目前能被核查的完整案例只有三个：一个 DX-Ball 游戏声音逻辑重建，用 3205 个用例复现 63 个函数；一个 Notion Electron 版剪贴板桥接追踪；一个 PC-98 老游戏 TH94 的子弹环计算恢复。强混淆和加壳会让反汇编结果显著降级，服务端的支付、风控、推荐逻辑在客户端里根本不存在，返回的是伪代码而非原始源码，大二进制还要受上下文窗口硬约束。这些边界，媒体标题通常不提。

为什么它能火：把门槛、时间、保真度三件事同时打穿

REA 的火爆，不在于变出新魔法，而在于把三件原本昂贵的事同时变便宜。

专业门槛。过去逆向一个二进制，要会汇编、懂 PE 和 ELF 格式、能读伪代码，这是一个养了二十年的专业群体。REA 之后，这件事变成问一句「这个安装包到底往注册表写了什么」。门槛从十年功力清零到会打字。

时间成本。一个专业团队分析一款 App 周期以周计；一个 Agent 拆一款游戏或 App，周期以小时甚至分钟计。成本跟着塌下来，有安全研究者用 Cursor 搭 Claude 逆向带多层加壳的银行 App，约 30 分钟、不到 5 美元。

保真度。人类的逆向会累，看到关键函数就停下，Agent 不受这个上限约束，可以全量扫描。逆向开发者 Maurice Heumann 用 Hex-Rays 官方 MCP 让十几个智能体并行，把一款射击游戏 99% 的函数还原成 C++ 源码，其中 83% 编译后与原程序逐字节一致。这个数字如果坐实，意味着「抄到八成真」第一次成为现实。

这三件事合起来，攻击的正是软件业最老的那座护城河。过去「源码不可得所以你得买」成立，是因为复制一件软件的成本逼近甚至超过重新开发它。当复制成本从数十人月跌到 30 分钟加 5 美元，这个等式第一次不成立了。

12 万星是护城河塌方，还是一场注意力事件

这是全文最关键的一段，因为两种读法都有一手数据撑着。

主张塌方的一方，证据是星标的绝对斜率。GitHub API 显示 10 月 12 日约 12 万星，六天前还只有 1513 星，单日新增峰值在 10 月 11 日达到 31255 星，10 月 6 日到 12 日五次登顶 Trending。作为对比，年初同样爆款的 OpenClaw 爆发第三天累计只涨 6 万星。

主张泡沫的一方，证据是四个口径的分裂。王军舰的实测：星标 110042，fork/star 比 22.2%，成熟项目通常 2% 到 8%；watcher 只有 349 个，watcher/star 比 0.32%，正常 1% 到 3%；npm 月下载 7.4 万。他据此判定，11 万星里绝大多数是收藏围观，不是真实装机。更耐人寻味的是，不同来源报出的星数本身在打架，有的说 12 万，有的说 16.8 万、17.1 万，而 watcher 始终停在五百上下，被一些社区怀疑有刷数据成分。

我判断两件事同时为真。星标是注意力不是生产力，但注意力在这个节点出现是有信号的：足够多的人已经意识到「源码作为护城河」这个前提松动了，这种集体意识一旦形成，不会因为 fork 率低就消失。

中文开发者社区的反应落在两种读法中间。InfoQ 报道引述的专家把结论引向「软件里的知识才是产品」，克隆能拿走代码，拿不走业务理解和客户关系；知乎的讨论更直接，有人怀疑星标斜率有刷数据成分。「逆向灭霸」的媒体外号在中文圈传开，但真正做安全的人反而最冷静，他们提醒这波更多是 AI 博主和科技账号在扩散，而非逆向圈自己的共识。

这层传播路径的观察很关键。它意味着 REA 的第一批受众，是被「软件护城河崩了」叙事吸引来的围观者，而非真的要拆二进制的人。叙事先于工具落地，这既是它三天 12 万星的原因，也是它最容易被反噬的地方，一旦「复现得准」在真实场景被证伪，星标会以同样快的速度退潮。

法律的绳子还拴着：合法的是互操作，不是搬运

热度再高，法律边界没有跟着松动，反而因为「一个人同时读和写」而更微妙。

中美两边的红线高度一致，都禁止直接复制代码，允许的只是为互操作性而分析与重建。美国是 DMCA §1201 和 Sega v. Accolade 案先例，外加 Bowers v. Baystate 案承认了软件许可证里禁止逆向的条款；中国是《著作权法》第五十条、法释〔2020〕7 号第十四条，以及指导案例 48 号。

REA 真正的麻烦，在于它打破了逆向工程四十年的净室隔离。传统上，拆解代码的人和分析之后重新写代码的人必须是两拨，中间隔着规范文档。现在同一个 Agent 既读反汇编输出、又生成新代码，这层隔离消失，独立创作抗辩被削弱，「IP 清洗」的质疑随之而来。已经有出版商动手，Activision 和 Bethesda 对 AI 逆向产出的内容发出过下架和停止侵权函。

还有一个被普遍低估的合规点：REA 分析在本地跑，但分析结果会被回传给模型供应商。这就把技术问题变成数据治理问题，逆向一款带 NDA 的软件，等于把它的内部结构外发。

安全这条边比合规更刺手。那个「30 分钟 5 美元逆向银行 App」的实测，既是能力证明也是攻击面说明：过去要养专业团队的活，现在一个会打字的人加 5 美元就能摸到一款 App 的加壳、反调试和请求内容。更麻烦的是，承载这些 Agent 的工具链自己也在漏，Wiz 披露过 6 款 AI 编程助手共有的符号链接信任边界缺陷，涉及 Claude Code 和 Cursor。一面是逆向门槛被打平，一面是 Agent 本身供应链在变脆，两件事叠加，才是「逆向 Agent」这个品类未来最大的变数。

这层法律绳子，恰恰是「护城河会搬家而不是消失」的另一个理由。如果复制代码这条路被法律死死按住，真正能合法留住客户的东西，只能是代码之外的那部分。

值钱的东西换了位置：从实现难度，到服务与 know-how

REA 的故事如果只讲到「软件护城河崩了」，就只讲了一半。同一天发生的一组数据给出另一半。

西门子在首尔发布会扔出两个数字：2026 年全球 AI 投资预计 2.5 万亿美元，但只有 6% 的企业体验到可量化的回报改善，74% 没走到商业化；调查里 65% 的人说 AI 帮了自己的活，却只有 12% 说它提升组织绩效。它的回应是三个组件拼在一起：知识图谱连接分散数据、Agent 编排、加一道人工审批。一个 HBM 良率异常的活，从数天压到 6 分钟。

哈佛一份工作论文给了更冷的信号：AI 编程 Agent 让代码量涨 30%，但解决的 issue 数持平，评审时间反而多 49%。代码变多了，产出没变多。这件事和 REA 是同一枚硬币的两面：写代码、复制代码都在快速变便宜，但把代码变成能交付、能维护、能合规的产品，没有变便宜。

Replit 那边流传一个更直白的故事：有人拿到报价 15 万美元的软件需求，用 Replit 花 400 美元自己造出来，反手 3.2 万美元卖回雇主。抛开道德判断，它讲的是同一件事：实现的定价权在崩，而「把需求翻译成能用的东西」这个动作还有定价权。

上图：护城河正在从「看不到代码」迁移到五个更重的方向，这些都无法被逆向拿走。

Replit 总裁 Michele Catasta 的话可作注脚：技术护城河会褪色，执行护城河会复利。功能可以被复制，但关于什么会坏、什么能扩展的判断力，和十年踩坑攒下的经验，复制不了。InfoQ 报道引述的专家也点到同一层：克隆能拿走代码，拿不走业务理解和客户关系，软件里的知识才是产品。

上图：软件业收费基础从「实现难度加信息不对称」不可逆地滑向「服务加业务理解加合规」。

接下来「逆向工程 Agent」大概率会像 coding agent 一样长成独立工具品类，但它第一个真正值钱的商用案例，不会出现在复刻别人的 App 上，而会出现在企业维护那些已经没人读得懂源码的老系统上。这是合规的、付费意愿最强的、也是 REA 那套证据链真正能发挥的地方。

收尾：搬走的是护城河，搬不走的才是生意

把整件事收拢，REA 这 12 万星真正标定的是软件业价值重心的迁移，而不是软件业的死亡。

我原以为「所有软件都将开源」是 Masad 的情绪化口号，看完这轮数据才意识到它描述的是另一件事：当复制和实现便宜到可以忽略，闭源本身就不再是收费的理由，软件业得重新回答用户到底在为什么付钱。答案不在源码里，在服务、数据、关系和持续交付里。

接下来半年我会盯三个信号。逆向 Agent 会不会出现第一起真实商用落地，尤其在企业老系统维护方向，而不是媒体 demo。GitHub 和各大平台会不会对这个品类给出明确合规姿态，这决定它是工具还是雷区。REA 那套证据链范式会不会被 coding agent 之外的安全、取证、合规工具复制，如果会，它真正的遗产，是教会 Agent 说清「我是怎么知道的」，而不是拆软件本身。

给正在做软件的人一句实用的话：别再假设你的护城河是别人看不到你的源码，那只是一种会随时间失效的摩擦。真正要补的，是把代码之外的东西做厚，把服务做到别人复制不动，把业务理解做到别人偷不走。这从来都是软件业最慢、最贵、也最值钱的那部分。