Qué es
REA (Reverse Engineer Anything), del usuario morluto, fue el repositorio nº 1 de GitHub Trending el 11 de octubre de 2026, con unas 25.600 estrellas en un solo día. Según la API de GitHub, superaba las 95.000 estrellas el 12 de octubre. La licencia es MIT.
La propuesta cabe en una frase del README: "¿Ve una función que le gusta? Entienda cómo funciona, hasta el nivel binario." REA es un servidor MCP que conecta agentes de IA para programar (Claude Code, Codex, Cursor, Gemini CLI, Grok Build y otros) con herramientas de ingeniería inversa. Usted pide al agente que investigue una app sin el código fuente, y este explica cómo funciona la función, muestra las pruebas y puede construir una versión para su proyecto.
Qué analiza
Según el README, REA cubre:
- Binarios nativos: pseudocódigo, ensamblador, cadenas, símbolos y llamadas, usando Hopper, Ghidra o IDA ya instalados.
- JavaScript y Electron: módulos, imports, source maps, rutas e IPC.
- Sitios web: estructura, scripts y tráfico de red, mediante un navegador de la familia Chrome.
- .NET, APK de Android, dispositivos Android (adb), WASM, bytecode EVM, firmware y capturas de red (HAR).
- Fallos registrados en Linux, con registros y señales de cada hilo.
El análisis se ejecuta localmente y cada conclusión incluye pruebas y limitaciones. La instalación es un comando, npx rea-agents setup, que registra el MCP en los agentes elegidos y hace copia de seguridad de las configuraciones.
Por qué explotó
La ingeniería inversa siempre exigió especialistas y herramientas caras. REA la convierte en una conversación con el agente que ya usa. En seguridad, sirve para analizar malware, auditar apps de terceros e investigar fallos. En producto, para entender cómo un competidor implementó algo.
Precauciones importantes
- Cuestiones legales: muchos términos de uso y licencias (EULA) prohíben la ingeniería inversa. Las leyes varían por país: algunos tienen excepciones para interoperabilidad e investigación de seguridad, pero no todos. Copiar la implementación de un competidor puede infringir derechos de autor o patentes. Consulte a un abogado antes de usarlo en productos.
- Seguridad: la herramienta maneja binarios desconocidos. Analice malware solo en máquinas aisladas o VM.
- Los agentes se equivocan: REA muestra pruebas precisamente para que un humano las revise. No tome la explicación del agente como verdad sin revisarla.
- Popularidad no es auditoría: un proyecto con 95.000 estrellas en días también es un objetivo atractivo para ataques a la cadena de suministro. Fije versiones y revise los cambios.
Para empresas
- Los equipos de seguridad pueden acelerar la clasificación de muestras sospechosas y de apps internas heredadas sin código fuente.
- Defina una política de uso: qué objetivos se permiten y quién aprueba.
- Ejecútelo en un entorno aislado, con las herramientas nativas debidamente licenciadas.
Fuentes
- GitHub, morluto/rea: https://github.com/morluto/rea
- Sitio oficial de REA: https://rea.tools/
- GitHub Trending (11/10/2026), GitStock: https://gitstock.org/trending/2026-10-11
¿Quiere usar agentes de IA para seguridad y análisis de software de forma responsable? KGA IT ofrece una consulta gratuita: kga-it.com.