REA sammelte 300.000 Sterne in zwei Wochen. Am wertvollsten ist eine Liste dessen, was es nicht weiß

Das Projekt REA, kurz für Reverse Engineer Anything, beruht auf einem einzigen Satz. Du siehst eine Funktion, die dir gefällt, und verstehst, wie sie funktioniert, bis hinunter zur Binärdatei. Im Oktober machte dieser Satz aus einem wenig bekannten Repository das am schnellsten wachsende Projekt auf GitHub. Hinter dem Etikett „Ende der Software“ steckt jedoch ein ehrliches und nützliches Werkzeug mit einer ziemlich schmalen Aufgabe.

Von 41 auf 360.000 Sterne in drei Wochen

Das Repository morluto/rea entstand am 14. April 2026, und ein halbes Jahr lang bemerkte es kaum jemand. Laut den GH-Archive-Daten, die Moe Lueker zusammengetragen hat, hatte es am 2. Oktober 41 Sterne. Eine Woche später waren es mehr als 45.000, und am 12. Oktober kamen an einem einzigen Tag fast 52.000 hinzu. Am 22. Oktober zeigt GitHub mehr als 365.000 Sterne und 91.000 Forks. Das Installationspaket rea-agents kam an den stärksten Tagen laut npm auf über 100.000 Downloads pro Tag. Die Leute haben es also tatsächlich ausgeführt.

Die Lawine lösten soziale Netzwerke aus. Am 8. Oktober schrieb Matthew Berman auf X: „Reverse Engineer Anything 😂 Software is done.“ Der Beitrag hat 2,8 Millionen Aufrufe. Es folgten Videos mit Millionen Abrufen sowie chinesische und japanische Threads, die das Repository zum heißesten auf GitHub erklärten. Fireship legte das Video „Every app on Earth is now open source“ nach. Darin geht es allerdings vor allem um Nachbauten von Adobe-Programmen, die anders entstanden sind und REA nicht brauchten. Trotzdem verschmolzen beide Geschichten zu einem Eindruck: Geschlossene Software ist nicht mehr geschlossen.

Der Autor tritt unter dem Namen morluto auf, sein echter Name ist nicht öffentlich bekannt. Das Projekt wird offen mit Agenten gebaut. AgentBreaking zählte zwischen Anfang Oktober und dem 12. Oktober 263 Commits, in denen Claude Opus 5.5 als Mitautor genannt ist. Innerhalb von acht Tagen sprang das Projekt von Version 3.2.1 auf 6.4.0, inzwischen ist 6.7.0 erschienen.

Das Dekompilieren erledigt weiter Ghidra. REA liefert die Belege

REA hat keinen eigenen Decompiler. Bei nativen Programmen steuert es Ghidra, Hopper oder IDA, je nachdem, was bereits installiert ist. Dazu kommt die Analyse von JavaScript und Electron, .NET, Android-Apps, Firmware, Websites und Netzwerkmitschnitten. So bekommt ein Agent rund 140 Werkzeuge über einen einzigen MCP-Server, und die Installation ist ein Befehl: npx rea-agents setup.

Neu ist also nicht, dass eine KI Ghidra bedienen kann. GhidraMCP und ida-pro-mcp können das seit März 2025. Neu sind die Verpackung und vor allem die Form der Antwort. Jeder Befund trägt den Beleg, woher er stammt, und der Agent notiert auch, was er nicht herausfinden konnte. Statt einer überzeugenden Vermutung entsteht eine Liste offener Fragen. Bei einem Werkzeug, das Maschinencode liest, ist das wichtiger als die Zahl der unterstützten Formate.

Die eigenen Fallbeispiele des Projekts sind präzise, aber klein. Beim Spiel DX-Ball von 1996 schrieb ein Agent die Berechnung der Stereo-Klangverteilung in C neu. Das Ergebnis bestand 3.205 Tests gegen den ursprünglichen x86-Code und trifft alle 63 Bytes der kompilierten Funktion. Ein ganzes Programm hat aber niemand rekonstruiert, und das README verspricht das auch nicht. REA liefert Pseudocode, Assembler und Beziehungen zwischen Modulen, nicht den ursprünglichen Quellcode.

Unabhängiger Test: Bei kleinen Programmen brauchte der Agent REA nicht

Am 9. Oktober verglich GitTested einen Agenten mit REA und einen mit gewöhnlichen Werkzeugen wie objdump. Getestet wurden vier kleine Binärdateien ohne Symbole und drei Electron-Apps. Bewertet wurden die Antworten anhand von Fakten, die vorab aus dem echten Quellcode notiert worden waren. Bei den nativen Programmen erzielte der Agent ohne REA 74 von 75 Punkten, mit REA 73 von 75. Dabei verbrauchte er etwa 2,5-mal so viele Tokens. Die Tester raten deshalb zu Vorsicht: Code, den ein Agent ohnehin selbst lesen kann, braucht REA nicht.

Ähnlich lief es mit einer viralen Vorführung. Der Nutzer @AIWarper schrieb, REA habe mit Opus ein gekauftes Steam-Spiel dekompiliert und es in 30 Minuten in Unity gestartet. In den Antworten fragten Leute, ob es ein Mono-Build gewesen sei. Solche Spiele enthalten C#-Zwischencode, den frei verfügbare Werkzeuge seit zwanzig Jahren dekompilieren. Eine Antwort kam im Thread nicht. Eine weitere Grenze setzt das Modell, nicht das Werkzeug. Mehrere Nutzer berichteten, dass Claude die Arbeit abbrach, etwa beim Protokoll eines fremden Akkus.

Eine gefälschte Kopie mit Trojaner und die rechtliche Grenze

Der Erfolg lockte auch Betrüger an. Laut einem Faktencheck von Pasquale Pillitteri tauchte am 13. Oktober eine Kopie des Repositorys unter einer Organisation namens rea-tools auf. Sie ergänzte das kopierte README um einen Abschnitt mit einer eigenständigen .exe für Windows. Das Archiv wurde bis zur Meldung 172-mal heruntergeladen, und Microsoft Defender stufte es als Trojaner der Familie Wacatac ein. Das offizielle README warnt jetzt, dass ein ähnlicher Name oder ein kopierter Text nichts beweisen. REA sollte man nur von github.com/morluto/rea, von rea.tools oder über das Paket rea-agents auf npm beziehen.

Auch die echte Version ist keine Sandbox, wie ihre Sicherheitsdokumentation ausdrücklich sagt. Die Installation ändert die Konfiguration aller ausgewählten Agenten. Die Laufzeitanalyse startet das untersuchte Programm mit deinen Rechten. Und die Abhängigkeiten ändern sich täglich, daher lohnt es sich, eine bestimmte Version festzuschreiben.

Rechtlich kommt es vor allem darauf an, wessen Programm man zerlegt. In der EU erlaubt die Richtlinie 2009/24/EG das Dekompilieren, wenn es für die Interoperabilität unerlässlich ist und die Informationen nicht anders verfügbar sind. Ein Vertrag kann dieses Recht nicht ausschließen. Mit den Ergebnissen ein Programm zu schreiben, das dem Original im Wesentlichen ähnlich ist, ist dagegen nicht erlaubt. Der Haftungsausschluss von REA verbietet das Umgehen von DRM und Lizenzprüfungen. Das Marketing lockt zugleich mit „bau eine ähnliche Funktion für dein Produkt“. Genau diese Grauzone fürchten unabhängige Spieleentwickler auf Reddit.

Liliths Urteil

REA ist ein gutes Werkzeug, das zum Meme wurde. Sterne messen Viralität, kein Audit, und das Beste daran ist eine bescheidene Liste der Dinge, die es nicht weiß. Wer sehen muss, was ein Programm wirklich tut, sollte es in einer VM an der eigenen App und mit festgeschriebener Version ausprobieren. Wer „einfach alles klonen“ wollte, bekommt vor allem Pseudocode und eine Token-Rechnung.