REA nasbíral 300 tisíc hvězd za dva týdny. Nejcennější je na něm seznam toho, co neví

Projekt REA, celým jménem Reverse Engineer Anything, stojí na jedné větě. Uvidíš funkci, která se ti líbí, a pochopíš, jak funguje, až na úroveň binárky. Ta věta během října udělala z málo známého repozitáře nejrychleji rostoucí projekt na GitHubu. Pod nálepkou „konec softwaru“ se ale schovává poctivý a užitečný nástroj s docela úzkým posláním.

Z 41 hvězd na 360 tisíc během tří týdnů

Repozitář morluto/rea vznikl 14. dubna 2026 a půl roku si ho skoro nikdo nevšiml. Podle dat z GH Archive, která sestavil Moe Lueker, měl 2. října 41 hvězd. O týden později jich bylo přes 45 tisíc a 12. října přibylo za jediný den téměř 52 tisíc. Ke 22. říjnu ukazuje GitHub přes 365 tisíc hvězd a 91 tisíc forků. Instalační balíček rea-agents měl podle npm v nejsilnějších dnech přes 100 tisíc stažení denně. Lidé ho tedy opravdu spouštěli.

Lavinu spustily sociální sítě. Matthew Berman napsal 8. října na X: „Reverse Engineer Anything 😂 Software is done.“ Příspěvek má 2,8 milionu zobrazení. Následovala videa s miliony zhlédnutí a čínská i japonská vlákna, která repozitář vyhlásila za nejžhavější na GitHubu. Fireship do toho přidal video „Every app on Earth is now open source“. To ale mluví hlavně o kopiích aplikací od Adobe, které vznikly jinak a REA k nim potřeba nebyl. Oba příběhy se přesto slily do jednoho dojmu: uzavřený software už není uzavřený.

Autor vystupuje pod přezdívkou morluto a jeho skutečné jméno se zatím veřejně neví. Projekt otevřeně staví s pomocí agentů. AgentBreaking napočítal mezi začátkem října a 12. říjnem 263 commitů s podpisem Claude Opus 5.5 jako spoluautora. Za osm dní projekt přeskočil z verze 3.2.1 na 6.4.0, dnes je venku 6.7.0.

Dekompilaci pořád dělá Ghidra. REA k ní přidává důkazy

REA nemá vlastní dekompilátor. Pro nativní programy řídí Ghidru, Hopper nebo IDA, které už máte. K tomu přidává analýzu JavaScriptu a Electronu, .NET, Android aplikací, firmwaru, webů a síťových záznamů. Agentovi tím nabízí kolem 140 nástrojů přes jeden MCP server a instalace je jeden příkaz npx rea-agents setup.

Novinka tedy není v tom, že AI umí ovládat Ghidru. GhidraMCP a ida-pro-mcp to umí od března 2025. Nové je balení a hlavně formát odpovědi. Každé zjištění nese důkaz, odkud pochází, a agent si zapisuje i to, co se zjistit nepodařilo. Místo přesvědčivého odhadu tak vznikne seznam neznámých. U nástroje, který čte strojový kód, je to důležitější vlastnost než počet podporovaných formátů.

Projekt sám ukazuje přesné, ale malé výsledky. U hry DX-Ball z roku 1996 agent přepsal výpočet stereo vyvážení zvuku do C. Výsledek prošel 3 205 testy proti původnímu kódu pro x86 a sedí všech 63 bajtů zkompilované funkce. Celý program ale nikdo nezrekonstruoval a README to ani neslibuje. REA vrací pseudokód, assembler a vztahy mezi moduly, ne původní zdrojáky.

Nezávislý test: na malých programech agent REA nepotřeboval

Server GitTested 9. října porovnal agenta s REA a agenta s obyčejnými nástroji jako objdump. Šlo o čtyři malé binárky bez symbolů a tři aplikace v Electronu. Odpovědi hodnotil podle faktů, které předem sepsal ze skutečných zdrojáků. U nativních programů získal agent bez REA 74 ze 75 bodů, s REA 73 ze 75. Spotřeboval přitom zhruba 2,5krát víc tokenů. Recenzenti proto doporučují REA používat opatrně: kód, který si agent přečte sám, jeho pomoc nepotřebuje.

Podobně vyzněla i virální ukázka. Uživatel @AIWarper napsal, že REA s Opusem dekompiloval koupenou hru ze Steamu a za 30 minut ji spustil v Unity. V odpovědích se ho lidé ptali, jestli šlo o build v Mono. Takové hry obsahují C# mezikód, který volně dostupné nástroje dekompilují už dvacet let. Odpověď ve vlákně nepřišla. Další hranici nestaví nástroj, ale model. Několik uživatelů popsalo, že Claude odmítl pokračovat, když šlo třeba o protokol cizí baterie.

Falešná kopie s trojanem a právní hranice

Úspěch přilákal i podvodníky. Podle přehledu Pasquale Pillitteriho se 13. října objevila kopie repozitáře pod organizací rea-tools. K převzatému README přidala sekci se samostatným souborem .exe pro Windows. Archiv si do nahlášení stáhlo 172 lidí a Microsoft Defender ho označil za trojan rodiny Wacatac. Oficiální README teď varuje, že podobné jméno ani zkopírovaný text nic nedokazují. REA berte jen z github.com/morluto/rea, z rea.tools nebo z balíčku rea-agents na npm.

Ani pravá verze není sandbox, jak výslovně píše její bezpečnostní dokumentace. Instalace upravuje konfiguraci všech vybraných agentů. Analýza za běhu spouští zkoumaný program s vašimi oprávněními. A závislosti se mění každý den, takže se vyplatí zafixovat konkrétní verzi.

Právně záleží hlavně na tom, čí program rozebíráte. V EU směrnice 2009/24/ES dovoluje dekompilovat program, když je to nezbytné kvůli interoperabilitě a potřebné informace nejsou dostupné jinak. Smlouva toto právo vyloučit nemůže. Napsat podle výsledků program, který je původnímu v podstatě podobný, už ale dovolené není. REA ve svém disclaimeru zakazuje obcházení DRM a licenčních kontrol. Jeho marketing přitom láká na „postav si podobnou funkci pro svůj produkt“. Právě této šedé zóny se na Redditu bojí nezávislí vývojáři her.

Lilithin verdikt

REA je dobrý nástroj, který se stal memem. Hvězdy měří virálnost, ne audit, a nejlepší na něm je skromný seznam věcí, které neví. Kdo potřebuje vidět, co program opravdu dělá, ať si ho pustí ve virtuálce na vlastní aplikaci a s připnutou verzí. Kdo chtěl „jednoduše naklonovat cokoli“, dostane hlavně pseudokód a účet za tokeny.