tomitaku.net

REA

Reverse Engineer Anything / rea-agents / morluto/rea
add　2,535字

AIエージェントにリバースエンジニアリングの道具を使わせるためのMITライセンス2のオープンソースプロジェクト。MCPサーバーとCLIの両方の形で動き、エージェント（Claude Code、Codex、Cursor など）がREAを経由して、ソースコードのないバイナリやアプリを調べ、動作を説明し、同等の機能を自分の側に実装するところまでを一続きの作業にする。それ自体はデコンパイラではなく、Hopper、Ghidra、IDA、Kuna といった既存の解析エンジンの運転席にエージェントを座らせる層にあたる。返す結果には、結論の根拠と、その根拠で言える範囲の限界を添える設計になっている。2026年に公開されてから急速に注目を集めた※1。

何をするものか

利用の流れは、エージェントが対象について質問し、REAがMCP経由で対象を調べ、見つかった事実を根拠つきで返し、エージェントがそれを使って追加の質問をしたり、説明を書いたり、実装してテストしたりする、という形をとる。公式のREADMEが挙げる使い方の例は「Notes アプリの検索がどう動いているか理解して、根拠を見せて、自分のプロジェクトに似た機能を作って」という指示文である。同じ処理はCLIからも呼べる。

重要なのは、解析エンジンを同梱していない点である。ネイティブバイナリの深い解析には Hopper、Ghidra、IDA、Kuna のいずれかが別途必要で、セットアップが承認付きでHopperを入れられる以外は、既存のインストールを使う。JavaScript と .NET の静的な検査だけはエンジンなしで動く。解析は手元で走り、結果はローカルに留まる。

扱える対象の広さ

対応対象の一覧はかなり長い。ネイティブバイナリ（擬似コード・アセンブリ・文字列・シンボル・呼び出し関係）、JavaScript と Electron アプリ（モジュール・import・ソースマップ・IPC・ネイティブアドオンの関係）、.NET アセンブリ、Android の APK（JADX 経由での逆コンパイル）、ウェブサイト、保存済みのネットワークキャプチャ、SQLite のデータベース、WASM、EVM バイトコード、Go・Rust のバイナリに埋め込まれたビルド情報、Unity の IL2CPP メタデータ、Godot の PCK、Flutter アプリ、ファームウェア、PyInstaller の実行ファイル、GGUF や safetensors といったモデルファイル、記録済みのパケットやクラッシュダンプなどが並ぶ。

多くは外部ツールなしの静的な検査で、一部は利用者が別に用意したツール（pwntools、tshark、adb、Apktool、Binwalk など）を前提にする。つまり「何でもリバースエンジニアリングできる」という名前の実態は、個別の解析ツールが既に持っていた能力を、ひとつの呼び出し規約の下にまとめてエージェントから叩けるようにした、という範囲にある。

急激な注目と、その読み方

公開後まもなく GitHub のスター数が爆発的に伸び、これ自体が話題になった。ただし報じられる数値は資料によって大きく食い違っており、10万台から40万台まで幅がある※2。この種の急増は、実際に導入した人の数ではなく、話題を見て星だけ付けていく動きを多く含む、という指摘がある。

誇張された事例の流布もあった。REAを使ってある大手の製品群をまるごとクローンしたという話が広まったが、調べた人によれば、その成果物はソフトウェアの説明文や動画から作られたもので、REAによる解析とは関係がなかったという。プロジェクト自身のREADMEも、エージェントが対象を調べて「根拠を見せる」ことと、その根拠を使ってエージェントが実装を書くことを分けて書いており、元のソースコードが復元されると述べているわけではない※3。名前が「何でも」と大きく出ている一方、公式の記述は返せるもの（擬似コード、モジュール構成、実行時の観測）と、その限界を併記する側に寄っている。

ライセンスと法の扱い

REA 自身のコードは MIT で、第三者の素材はそれぞれのライセンスを保持する。注意が必要なのは、深い解析に使う商用ツールの側である。READMEは、IDA Pro / Hex-Rays、Hopper、JEB といった商用ツールを合法に入手し使用する権限を持つことが利用者の責任であり、REAはツールのライセンスも鍵も与えない、と明記している。クラック版や鍵の不正共有、ライセンス制限の回避は認められていない、という記述も置かれている。

プロジェクトの立場としては、合法な研究・教育・相互運用性の確保・ソフトウェア保存、および自分が所有するか調査を許可されたソフトウェアの解析に向けたものだとされている。リバースエンジニアリング自体の可否は国や契約によって異なり、対象の利用規約が明示的に禁じている場合もあるため、道具が使えることと使ってよいことは別の問題として残る。

要確認

  • GitHub のスター数の実数と推移。本記事では具体的な数値を書かず、資料間で食い違っている事実だけを記した
  • 作者の身元。匿名ハンドル morluto で活動しており実名は公表されていないとする報道があるが、一次的な確認はできていない
  • リポジトリの公開時期。2026年4月の作成とする記述が複数の二次資料にあるが、リポジトリのメタデータでの確認ができていない（本セッション2からは GitHub API に到達できなかった）
  • 「元のソースコードの復元やアプリの自動クローンを主張していない」という趣旨の文言を README から引用した批評記事があるが、参照した時点の README にその一文は見つからなかった。過去の版にあったのか、別の文書（DISCLAIMER.md など）にあるのかは確認できていない
  • 大手製品群のクローン事例が否定された経緯の詳細。検証したとされる人物や記事の特定ができていない
  • AIサービス側の利用規約との関係。リバースエンジニアリングを禁じる条項に触れてアカウント2が制限されたという報告があるが、裏付けは取れていない

参照

言及
なし
類似