資安檢測
AI 逆向時代來了｜爆紅的 REA 做了什麼？深度拆解 REA，一次看懂逆向工程
REA 是 GitHub 上爆紅的開源專案，把 Claude Code、Codex、Cursor 這類會寫程式的 AI，接上逆向工程師本來就在用的工具（Ghidra、IDA、JADX、Frida），讓 AI 幫你把別人做好的軟體拆開來看：手機 App、電腦程式、網站，連韌體都行，而且每一步都附上證據。它自己不會拆軟體，比較像一個轉接器。本文是奧微軟體 AugurSoft「AI 策略室」同名影片的文字版，影片可以直接在上方觀看。逆向工程怎麼做、REA 到底做了什麼、哪些拆得到哪些拆不到、合不合法，最後做 App 的老闆該怎麼保護自己，都整理在下面。一句話記住：看，可以；搬，不行。
影片章節
| 時間 | 章節 | 這段講什麼 |
|---|---|---|
| 0:00 | 開場：AI 逆向時代來了 | 不用拿到一行原始碼，也能把軟體拆開 |
| 1:04 | 社群上的人實際拆出了什麼 | 螢幕韌體、遠端桌面、彈珠遊戲、藏起來的金鑰 |
| 1:56 | 逆向工程怎麼做 | 靜態分析與動態除錯 |
| 2:46 | REA 做了什麼 | 一頭接 AI、一頭接逆向工具的轉接器 |
| 3:23 | 小恐龍為什麼越跑越快 | 每一個數字都附上在程式哪裡看到 |
| 3:47 | 三個設計 | 身分證、不知道、同等級的證據 |
| 4:59 | 為什麼大家搶著幫忙 | 八成的修改不是作者本人送的 |
| 5:41 | 老實說：它的限制 | 不是裝了就會用 |
| 6:16 | 想自己試試看 | 三步開始 |
| 7:22 | 拆得到的一半、拆不到的一半 | 送到使用者手上的，攤得開 |
| 8:10 | 拆別人的軟體，可以嗎？ | 三種情況 |
| 9:01 | 做 App 的老闆該怎麼保護自己 | 值錢的東西搬到伺服器上 |
| 9:42 | 收尾 | 把核心留在拆不到的那一側 |
REA 是什麼？為什麼突然在 GitHub 爆紅？
REA（GitHub 上的 morluto/rea）是 2026 年 4 月 14 日建立的開源專案，採 MIT 授權。專案自己的一句話是：用 agent 逆向任何東西，從 App 的行為一路到原生的二進位檔。它在 10 月突然爆紅：我們做影片時超過二十萬顆星，10 月 15 日再看已經超過 25 萬；10 月 7 日到 11 日，五天連出六個版本（5.0.0 到 6.4.0，見更新紀錄）。
紅的原因很簡單：門檻被打掉了。兩年前，要拆開一個 App、看懂它是怎麼做的，是少數高手練了好幾年的功夫，就算是 Google 的資深工程師，多數也做不來。今天，一個 AI agent 加上這個專案，普通上班族都能把 App 拆開，做出一個類似的。影片開場的字卡是這樣寫的：「如果我告訴你，未來想要破解或是逆向任何軟體，你連一行的原始碼都不需要拿到。這個盒子，已經被打開了。」
社群上的人用 AI 實際拆出了什麼？
這不是空談，這幾天社群上已經一堆人在用 AI 拆軟體。不一定每一個都用了 REA，但都是讓 AI 接上逆向工具做到的：
- 拆自己螢幕的韌體：一位國外工程師想搞懂自己那台螢幕的韌體，這種事以前要花一兩天、甚至一個禮拜，交給 AI 十五分鐘左右就做完了。他自己說：「這開始讓我有點害怕。」（Low Level）
- 修好困擾快十年的 bug：有人被 Windows 遠端桌面兩個小毛病困擾了快十年，把程式丟給 AI 半個多小時，兩個 bug 都修好了（Hacker News 討論串）。
- 把小時候的彈珠遊戲整個重做：從網路上抓下原始檔，叫 AI 自己拆解、一個函式一個函式翻譯，兩個半小時後，變成約 3 萬 1 千行、能在他的 Mac 上跑的全新程式（Better Stack）。
- 從 App 裡翻出 API 金鑰：有人拆開一支手機 App，在裡面翻出工程師藏起來的 API 金鑰，一把本來不該被外人看到的鑰匙（ndurner）。這件事和後面「怎麼保護自己」直接相關。
逆向工程是什麼？靜態分析和動態除錯怎麼做
逆向工程，就是手上沒有原始碼，從已經做好的軟體反推它是怎麼做的。方法分兩種：
| 方法 | 怎麼做 | 能看到什麼 | 常用工具 |
|---|---|---|---|
| 靜態分析 | App 不執行，直接攤開來讀；工具把手機、電腦看的二進位檔，翻回類似 Java、C++ 這種人看得懂的程式語言 | 程式的結構、演算法，甚至藏在裡面的金鑰 | JADX、Ghidra、IDA Pro |
| 動態除錯 | 讓 App 跑起來，在它執行的時候從旁邊插進去 | 它送出去的網路請求、記憶體裡的數值，還能繞過驗證 | Frida、Xposed |
以前這兩件事都要會這些工具、讀得懂機器語言，是一門要練好幾年的功夫。現在這些步驟 AI 自己來：它讀得快、不會累，自己操作工具，自己把拆到一半的東西接下去。
REA 做了什麼？把 AI 接上逆向工具的轉接器
REA 自己不會拆軟體。它比較像一個轉接器：一頭插上你平常用的 AI，像 Claude Code、Codex、Cursor；另一頭插上逆向工程師本來就在用的工具，也就是 Ghidra、IDA、JADX、Frida。中間用的是 MCP，一種讓 AI 呼叫外部工具的共通接口。
它把這些工具拆成一百九十個左右的小動作，例如開檔案、找字串、看誰呼叫誰、翻成看得懂的程式，讓 AI 一個一個叫來用。分析全部在你自己的電腦上跑，要拆的檔案不會上傳。官方列出能分析的對象，包含原生程式、JavaScript／Electron、網站、.NET、Android App、韌體與網路封包。
但轉接器只是一半。REA 真正花力氣的是另一半：每做一步，都要留下證據。
為什麼 REA 的答案比較可信？每一步都留下證據
REA 官網放了一個大家都玩過的例子：斷網時那隻小恐龍。問它「為什麼越跑越快？」，它回答：起跑速度是 6，每一格加 0.001，最快到 13，每個數字後面都附上它是在程式哪個位置看到的。它還算出來，跑到第一萬格時速度是 13.000999，比上限多了一點點。這個答案背後是三個設計：
- 每一句話都有身分證。它會標清楚這句是親眼看到的、算出來的，還是猜的；是哪個工具、哪個版本看到的，也一起記下來。工具壞了就直接說壞了，不會偷偷換一個工具，把來路不明的結果塞給你。
- 沒看到，不等於沒有。工具沒掃到的地方，它寫「不知道」，不寫「沒有」。
- 做完要拿出同等級的證據。你說「我做出一樣的了」，它會一筆一筆列出你還欠哪些證明。單元測試全綠，不能拿來證明整個 App 跑起來是對的。
這件事有多難？有人用它重建一款老遊戲，其中一段程式原版寫的是 128，重建版寫成 0，檢查程式卻說兩邊一樣，因為它沒去比那一格存的數字；發現之後把檢查補好，又回頭翻出另外十二個同樣的錯。還有一次，重建的函式跟原版一樣長，都是 1,825 個位元組，逐一比對卻有 467 個地方不一樣。長度一樣，不等於內容一樣。
AI 最大的毛病，就是猜得很像真的；REA 整套設計就是在防這件事。拿到一份 AI 寫的分析報告，要怎麼判斷能不能相信，可以看沒有原始碼，AI 就能還原？先看這三道證據。
為什麼大家搶著幫 REA 寫程式？
先看數字：專案從四月開始，到 10 月 13 日有兩千七百多次提交（2,748 次），光十月就有一千九百多次。已經合併進專案的修改，1,260 件裡有 1,012 件、大約八成，不是作者本人送的。原因就藏在設計裡：
- 好加：一個工具就是一個小動作，想加一個，不用懂整套系統。
- 回得快：送進來的修改先過 23 道自動檢查，再讓 AI 審一輪，大約一個小時就合併；有人回報問題，一二十分鐘就有人回。
- 被看見：每次更新，紀錄裡都寫著謝謝誰。
好加、回得快、被看見，人就會一直來。
REA 有什麼限制？不是裝了就會用
- 你要先裝好那些逆向工具，有的免費、有的要付費。
- Windows 版還在實驗階段；更新快到今天的用法，明天可能就改了。
- 它把證據列出來，也不代表結論一定對，最後還是要人看。
- 也有工程師試完覺得，跟自己叫 AI 去裝工具差不了多少，差的就是前面那一套證據。
但對本來不會逆向的人來說，差別是從「做不到」變成「做得到」。官方也寫得很清楚（DISCLAIMER）：它是給合法分析用的，不幫忙破解版權保護、授權驗證和遊戲防作弊。
想自己試試 REA？三步開始
- 準備一個會寫程式的 AI。像 Claude Code、Codex 或 Cursor，照 REA 官方說明把它接上去，再裝一個免費的反編譯工具：手機 App 用 JADX，電腦上的程式用 Ghidra。
- 挑一個你想看懂的軟體。例如你手機裡天天在用的 App，或是你曾經玩到昏天暗地的經典遊戲，把它的檔案放進電腦。
- 用講話的方式問它。比如「這個 App 有哪些畫面？」「它用了哪些現成的套件？」「這個遊戲的分數是怎麼算的？把證據給我看。」
過一會兒，你會拿到：這個 App 向手機要了哪些權限、有哪些畫面、用了哪些別人寫好的套件、畫面上的每一段文字，還有你問的那個功能翻回看得懂的程式，每一段都標著是在哪裡看到的。以前，這是資深工程師坐在螢幕前好幾天才整理得出來的東西。不過你很快會發現：有些東西它翻得一清二楚，有些東西它怎麼找都找不到。
App 哪些拆得到、哪些拆不到？
一個 App 會被拆開的，是「送到使用者手上」的那一半；真正拆不到的，是「留在伺服器上」的那一半。
| 送到使用者手上的一半 | 留在伺服器上的一半 | |
|---|---|---|
| 包含什麼 | 畫面、按鈕、流程，還有寫在 App 裡面的程式 | 真正的規則與資料：這一刀扣多少血、你現在是什麼牌位、下一場配到誰 |
| 拆不拆得開 | 只要在使用者手上，就攤得開 | 把手上那一半翻到底，也碰不到 |
| 例子 | 被翻出來的 API 金鑰 | 傳說對決、英雄聯盟這種連線對戰遊戲的伺服器 |
像傳說對決、英雄聯盟這種連線對戰的遊戲，裝在你手機和電腦裡的，只有畫面、模型和操作；這一刀砍下去扣多少血、你現在是什麼牌位、下一場配到誰，全部在伺服器上算。同一個 App，前半被看光，後半完全摸不到。前面那把金鑰，就是本來該留在伺服器，卻被放到了看得光的這一半。這條線，就是你守不守得住的那條線。
用 AI 拆別人的軟體，合法嗎？
大致分三種情況：
| 情況 | 怎麼看 |
|---|---|
| 拆開來看、研究它怎麼做、學個觀念 | 空間比較大。全世界的法律大多認為，想法和做法本身不受著作權保護；為了研究、為了讓自己的東西能跟它相容，是有討論餘地的。 |
| 照著做一個類似的 | 要小心。對方的使用條款可能本來就禁止逆向；做得太像，還可能踩到專利或不公平競爭。 |
| 把對方的程式碼、素材原樣搬走，或拿它的金鑰去打對方的伺服器撈資料 | 大多數國家都算侵權、甚至違法，不要碰。 |
一句話記住：AI 讓你做得到，不代表你可以做。看，可以；搬，不行。真的要動手，重要的先問過律師。
做 App 的老闆，怎麼保護自己的 App 不被 AI 逆向？
- 把值錢的東西從 App 裡搬到伺服器上。這一件最重要：金鑰不要寫死在 App 裡，真正的規則和演算法放到後端去算，重要的資料留在你自己的伺服器。留在伺服器上的，它拆不到。金鑰一旦外流，被掃走有多快，可以看程式碼裡的 API 金鑰外洩：被掃走只要幾分鐘。
- 混淆、加保護有用，但要認清它的作用。它拖慢對方、墊高成本，買的是時間，買不到絕對安全。
- 法律這一手也別忘了。使用條款寫清楚禁止逆向，名稱和商標去註冊，核心技術看要不要申請專利或當營業秘密管好。真被抄了，先留證據。
影片最後的字卡是這樣收的：「AI 把逆向工程的潘朵拉寶盒打開了。只會寫『能被拆開的那一半』的人，會被衝擊。真正該學的，是把核心留在拆不到的那一側。」
想檢查自己的 App 或系統，有沒有把金鑰寫死在程式裡？
奧微軟體 AugurSoft 的智盾資安檢測，會一起看網站、內部系統、資料庫與程式源碼，揪出寫死在程式裡的金鑰、外洩的憑證和有漏洞的相依套件，檢測後也能直接協助修補，中小型企業單一方案 NT$28,800。正要找人做新的 App，可以在需求裡先寫明「金鑰和核心規則放在後端」；奧微的 APP 開發服務，規劃時就包含會員流程與後台。想先聊聊，到 LINE 官方帳號 留言。
常見問題
REA 是什麼？
REA 是 GitHub 上爆紅的開源專案（morluto/rea，MIT 授權），把 Claude Code、Codex、Cursor 這類會寫程式的 AI，透過 MCP 接上 Ghidra、IDA、JADX、Frida 等逆向工具，讓 AI 幫你把別人做好的軟體拆開來看，每一步都附上證據。它自己不會拆軟體，比較像一個轉接器；分析在自己的電腦上跑，要拆的檔案不會上傳。
逆向工程是什麼？
逆向工程是手上沒有原始碼，從已經做好的軟體反推它是怎麼做的。方法分兩種：靜態分析不執行程式，用 JADX、Ghidra、IDA Pro 把二進位檔翻回類似 Java、C++ 的程式來讀；動態除錯讓程式跑起來，用 Frida、Xposed 在執行時插進去，攔下網路請求、改掉記憶體裡的數值。以前要練好幾年，現在 AI 可以自己操作這些工具。
用 REA 需要會逆向嗎？要怎麼開始？
不用先是逆向高手，三步就能開始：準備一個會寫程式的 AI（Claude Code、Codex 或 Cursor），照 REA 官方說明接上去，再裝一個免費的反編譯工具，手機 App 用 JADX、電腦上的程式用 Ghidra；把想看懂的 App 或遊戲檔案放進電腦；用講話的方式問它，例如「這個 App 有哪些畫面？」。它不是裝了就會用：逆向工具要先裝好，Windows 版也還在實驗階段。
用 AI 逆向別人的 App 合法嗎？
大致分三種情況。拆開來看、研究它怎麼做，空間比較大，多數法律認為想法和做法本身不受著作權保護；照著做一個類似的要小心，可能違反對方的使用條款，做得太像還可能踩到專利或不公平競爭；把程式碼、素材原樣搬走，或拿它的金鑰去打對方的伺服器撈資料，大多數國家都算侵權、甚至違法。一句話記住：看，可以；搬，不行。真的要動手，重要的先問過律師。REA 官方也寫明只給合法分析用，不幫忙破解版權保護、授權驗證和遊戲防作弊。
App 被逆向，哪些東西會被看光、哪些拆不到？
會被看光的是「送到使用者手上」的那一半：畫面、按鈕、流程、寫在 App 裡的程式，還有寫死在裡面的金鑰。拆不到的是「留在伺服器上」的那一半，例如傳說對決、英雄聯盟這種連線對戰遊戲，傷害怎麼算、你的牌位、下一場配到誰，全部在伺服器上算，把手機裡那一半翻到底也碰不到。
怎麼保護自己的 App 不被 AI 逆向？
最重要的是把值錢的東西從 App 搬到伺服器上：金鑰不要寫死在 App 裡，真正的規則和演算法放到後端去算，重要的資料留在自己的伺服器。混淆和加保護有用，能拖慢對方、墊高成本，但買到的是時間，買不到絕對安全。法律這一手也要做：使用條款寫清楚禁止逆向，名稱和商標去註冊，核心技術看要不要申請專利或當營業秘密管好；真被抄了，先留證據。
資料來源
星數讀自 GitHub API（2026-10-15）；提交、合併、自動檢查與工具數讀自專案倉庫（2026-10-13）。
- GitHub｜morluto/rea（星數、提交與合併紀錄）
- GitHub｜REA 更新紀錄（五天六個版本）
- REA 官網｜小恐龍的例子
- REA 官方案例｜重建東方 TH04（128 與 0）
- REA｜DISCLAIMER（合法分析的範圍）
- Low Level｜拆自己的螢幕韌體
- Hacker News｜REA 討論串（Windows 遠端桌面的兩個 bug）
- Better Stack｜彈珠遊戲整個重做
- ndurner｜從 Android App 翻出 API 金鑰