REA reunió 300.000 estrellas en dos semanas. Lo más valioso que tiene es una lista de lo que no sabe

El proyecto REA, siglas de Reverse Engineer Anything, se apoya en una sola frase. Ves una función que te gusta y entiendes cómo funciona, hasta el nivel del binario. En octubre, esa frase convirtió un repositorio poco conocido en el proyecto que más rápido crecía en GitHub. Detrás de la etiqueta del «fin del software» hay, sin embargo, una herramienta honesta y útil con una misión bastante concreta.

De 41 estrellas a 360.000 en tres semanas

El repositorio morluto/rea se creó el 14 de abril de 2026 y durante medio año casi nadie se fijó en él. Según los datos de GH Archive que recopiló Moe Lueker, el 2 de octubre tenía 41 estrellas. Una semana después superaba las 45.000, y el 12 de octubre sumó casi 52.000 en un solo día. A 22 de octubre, GitHub muestra más de 365.000 estrellas y 91.000 forks. El paquete de instalación rea-agents superó en sus mejores días las 100.000 descargas diarias en npm. La gente lo estaba ejecutando de verdad.

Las redes sociales desataron la avalancha. El 8 de octubre, Matthew Berman escribió en X: «Reverse Engineer Anything 😂 Software is done». La publicación tiene 2,8 millones de visualizaciones. Llegaron vídeos con millones de reproducciones e hilos en chino y japonés que lo proclamaban el repositorio más candente de GitHub. Fireship añadió el vídeo «Every app on Earth is now open source». Ese vídeo, sin embargo, habla sobre todo de los clones de aplicaciones de Adobe, que se hicieron de otra manera y no necesitaron REA. Aun así, las dos historias se fundieron en una sola impresión: el software cerrado ya no está cerrado.

El autor firma como morluto y su nombre real no se ha hecho público. El proyecto se construye abiertamente con agentes. AgentBreaking contó 263 commits entre principios de octubre y el 12 de octubre con Claude Opus 5.5 acreditado como coautor. En ocho días el proyecto saltó de la versión 3.2.1 a la 6.4.0, y ya está disponible la 6.7.0.

Ghidra sigue descompilando. REA añade las pruebas

REA no tiene descompilador propio. Para programas nativos maneja Ghidra, Hopper o IDA, el que ya tengas. Además analiza JavaScript y Electron, .NET, aplicaciones Android, firmware, sitios web y capturas de red. Así ofrece al agente unas 140 herramientas a través de un único servidor MCP, y la instalación es un solo comando: npx rea-agents setup.

La novedad, por tanto, no es que una IA sepa manejar Ghidra. GhidraMCP e ida-pro-mcp lo hacen desde marzo de 2025. Lo nuevo es el empaquetado y, sobre todo, la forma de la respuesta. Cada hallazgo lleva la prueba de su origen, y el agente anota también lo que no ha podido averiguar. En lugar de una suposición convincente, sale una lista de incógnitas. En una herramienta que lee código máquina, eso importa más que el número de formatos compatibles.

Los ejemplos del propio proyecto son precisos, pero pequeños. En el juego DX-Ball, de 1996, un agente reescribió en C el cálculo del panorama estéreo del sonido. El resultado pasó 3205 pruebas frente al código x86 original y reproduce los 63 bytes de la función compilada. Nadie ha reconstruido un programa entero, y el README tampoco lo promete. REA devuelve pseudocódigo, ensamblador y relaciones entre módulos, no el código fuente original.

Prueba independiente: en programas pequeños el agente no necesitó REA

El 9 de octubre, GitTested comparó un agente con REA y otro con herramientas corrientes como objdump. Los objetivos eran cuatro binarios pequeños sin símbolos y tres aplicaciones Electron. Las respuestas se puntuaron con hechos redactados de antemano a partir del código fuente real. En los programas nativos, el agente sin REA obtuvo 74 de 75 puntos, y con REA, 73 de 75. Además gastó unas 2,5 veces más tokens. Los revisores recomiendan, por eso, adoptar REA con cautela: el código que el agente ya sabe leer por su cuenta no necesita su ayuda.

Una demostración viral contó una historia parecida. El usuario @AIWarper escribió que REA con Opus descompiló un juego de Steam que había comprado y lo puso en marcha en Unity en 30 minutos. En las respuestas le preguntaron si era una compilación Mono. Esos juegos incluyen código intermedio de C# que herramientas gratuitas descompilan desde hace veinte años. En el hilo no hubo respuesta. Otro límite lo pone el modelo, no la herramienta. Varios usuarios contaron que Claude se negó a seguir, por ejemplo con el protocolo de la batería de otro fabricante.

Una copia falsa con troyano y el límite legal

El éxito atrajo también a estafadores. Según una verificación de Pasquale Pillitteri, el 13 de octubre apareció una copia del repositorio bajo una organización llamada rea-tools. Al README copiado le añadió una sección con un .exe independiente para Windows. El archivo se descargó 172 veces antes de la denuncia, y Microsoft Defender lo marcó como troyano de la familia Wacatac. El README oficial advierte ahora de que un nombre parecido o un texto copiado no demuestran nada. REA solo debe descargarse de github.com/morluto/rea, de rea.tools o del paquete rea-agents en npm.

Ni siquiera la versión auténtica es un sandbox, como dice expresamente su documentación de seguridad. La instalación modifica la configuración de todos los agentes elegidos. El análisis en ejecución arranca el programa estudiado con tus permisos. Y las dependencias cambian a diario, así que conviene fijar una versión concreta.

En lo legal, lo que más importa es de quién es el programa que desmontas. En la UE, la Directiva 2009/24/CE permite descompilar un programa cuando es indispensable para la interoperabilidad y la información no está disponible de otro modo. Un contrato no puede excluir ese derecho. Usar los resultados para escribir un programa sustancialmente similar al original, en cambio, no está permitido. El aviso legal de REA prohíbe eludir DRM y comprobaciones de licencia. Su marketing, mientras tanto, invita a «crear una función parecida para tu producto». Esa zona gris es justo la que preocupa a los desarrolladores independientes de videojuegos en Reddit.

El veredicto de Lilith

REA es una buena herramienta que se convirtió en meme. Las estrellas miden viralidad, no una auditoría, y lo mejor que tiene es una modesta lista de lo que no sabe. Quien necesite ver qué hace de verdad un programa, que lo pruebe en una máquina virtual, sobre su propia aplicación y con la versión fijada. Quien quería «clonar cualquier cosa sin más» se llevará sobre todo pseudocódigo y una factura de tokens.